Explotación de Harmony ONE: Se confirman 4 mil millones de ONE mientras que una revisión apunta a 3,01 billones.

El 12 de agosto de 2026, la vulnerabilidad de Harmony ONE permitió la creación no autorizada del token nativo de la red mediante fallos en la validación de recibos entre particiones. Harmony confirmó una emisión inicial de 4 mil millones de ONE, mientras que su reconstrucción más reciente indica que seis transacciones falsificadas entre particiones podrían haber emitido aproximadamente 3,01 billones de ONE en total. El proyecto aún está conciliando estas cifras, por lo que la estimación de 3,01 billones no debe considerarse un total definitivo.

ONE cayó cerca de un 40% al conocerse la noticia de la vulnerabilidad. El investigador de la cadena de bloques Juiceberg informó inicialmente que aproximadamente 2.800 millones de ONE provenientes de la primera emisión detectada se habían transferido a exchanges y también descubrió que el punto final totalSupply de Harmony no reflejaba de inmediato los tokens no autorizados. Desde entonces, Harmony ha confirmado la vulnerabilidad y su causa técnica, aunque la discrepancia entre el punto final de suministro y el de la primera emisión sigue siendo un hallazgo reportado por el investigador, en lugar de un detalle documentado de forma independiente en el informe de incidentes de Harmony.

• Harmony sufrió una vulnerabilidad de acuñación no autorizada de ONE el 12 de agosto de 2026.

• El proyecto ha confirmado una acuñación inicial de 4 mil millones de ONE, mientras que una reconstrucción posterior apunta a aproximadamente 3,01 billones de ONE creados a través de seis transacciones falsificadas entre fragmentos.

• Los cambios en el código de Harmony revelan debilidades en la protección contra la repetición de recibos entre particiones y en la verificación del quórum.

• Se implementó la versión de emergencia v2026.1.1 para evitar una mayor explotación, mientras que los servicios del puente permanecieron suspendidos.

• Harmony está preparando una reversión al bloque 92.730.034, anterior a la ocurrencia del exploit.

A nivel técnico, la vulnerabilidad se centró en la forma en que Harmony procesa los recibos entre fragmentos, que se utilizan para comunicar los resultados de las transacciones entre diferentes partes de la red. Los cambios en el código publicados por Harmony revelan dos debilidades relevantes. Una podría permitir que una verificación de quórum se complete con éxito sin las aprobaciones de los validadores requeridas, mientras que la otra podría hacer que un recibo procesado previamente apareciera como no utilizado, permitiendo que el destino se acreditara nuevamente sin otro débito correspondiente.

Las cifras exigen mayor cautela que la sugerida en los primeros informes. Harmony afirma que la primera actividad confirmada consistió en dos transacciones de bloques vacíos que generaron 1.000 millones y 3.000 millones de ONE, respectivamente. Sin embargo, su reconstrucción posterior identificó seis transacciones falsificadas entre fragmentos que involucraban cuatro billeteras de atacantes y estimó la emisión total potencial en aproximadamente 3,01 billones de ONE. Harmony aún está verificando la diferencia entre la cifra inicial de 4.000 millones y la reconstrucción, mucho mayor.

Esto también significa que la afirmación, ampliamente difundida, de que la vulnerabilidad aumentó el suministro de ONE en aproximadamente un 26%, se aplica únicamente a la estimación original de 4 mil millones, en comparación con los aproximadamente 15 mil millones de ONE reportados antes del ataque. No debe utilizarse para describir la posible cifra de 3,01 billones que actualmente se está investigando.

Uno de los detalles más inusuales surgió de la investigación inicial de Juiceberg. El investigador informó que el punto final totalSupply de Harmony no incluía de inmediato el token ONE recién creado, incluso cuando ya circulaban tokens no autorizados por la red y se dirigían a las plataformas de intercambio. En consecuencia, los rastreadores de precios públicos seguían mostrando cifras de suministro que no reflejaban la emisión reportada.

Esto es importante porque el suministro de tokens es un dato fundamental para evaluar la dilución, la capitalización de mercado y la escasez de un activo. Cualquier servicio que se base en datos de suministro obsoletos sin conciliar de forma independiente la cadena subyacente podría subestimar la magnitud de un evento de acuñación repentino. Sin embargo, sería demasiado general afirmar que todas las billeteras, exchanges o plataformas de datos dependen exclusivamente del endpoint totalSupply de Harmony.

Para los operadores y proveedores de datos, los datos de suministro incorrectos o retrasados pueden distorsionar varias métricas básicas :

• Oferta circulante, ya que los tokens recién creados pueden no aparecer en la cifra reportada.

• La capitalización de mercado, que depende tanto del precio del token como del número de tokens en circulación.

• Estimaciones de dilución, lo que dificulta juzgar cuánto se han devaluado las participaciones existentes.

• Supervisión de riesgos, porque un aumento anormal en la oferta normalmente sería una de las señales más claras de acuñación no autorizada.

La distinción es importante. El ataque en sí mismo generó el riesgo económico, mientras que la discrepancia en el suministro reportada dificultó la identificación de dicho riesgo mediante herramientas de monitoreo estándar. Por lo tanto, el problema no radicaba simplemente en la caída del precio de ONE, sino en la incertidumbre sobre la cantidad de ONE que se creía existente mientras se desarrollaba el incidente.

Puedes encontrar más historias como esta en nuestra página de noticias sobre criptomonedas .

Harmony lanzó la versión v2026.1.1 de su red principal a las 06:30 UTC del 12 de agosto. La actualización incluyó correcciones a la lógica de recepción entre particiones, incluyendo el cálculo del quórum y el mecanismo para determinar si una recepción ya había sido procesada. Harmony también suspendió sus servicios de puente y comenzó a coordinarse con exchanges y otros proveedores de infraestructura en relación con los fondos vinculados a la vulnerabilidad.

El proyecto se está preparando para revertir la red al bloque 92.730.034, anterior a la acuñación no autorizada. Posteriormente, el fragmento 0 se detuvo en el bloque 92.753.555 mientras Harmony coordinaba la reversión con los validadores y las plataformas de intercambio.

Una reversión podría eliminar los cambios de estado fraudulentos de la cadena canónica, pero también crea un problema aparte. Las transacciones completadas legítimamente después del punto de reversión seleccionado también pueden verse afectadas, por lo que la coordinación entre validadores, exchanges y proveedores de infraestructura es fundamental antes de que la red reanude su funcionamiento normal.

El incidente de agosto de 2026 se suma a dos problemas anteriores relacionados con Harmony. En junio de 2022, unos atacantes robaron aproximadamente 100 millones de dólares del puente Horizon tras vulnerar su seguridad. Posteriormente, el FBI atribuyó el robo al Grupo Lazarus de Corea del Norte.

Posteriormente, en diciembre de 2023, Harmony experimentó un problema independiente relacionado con la creación de tokens. Un error en el sistema de staking provocó la creación indebida de aproximadamente 146,3 millones de tokens ONE, parte de los cuales se transfirieron posteriormente a una plataforma de intercambio.

La vulnerabilidad de 2026 difiere técnicamente de ambos casos. El ataque de 2022 involucró el puente, mientras que el incidente actual afecta la validación de recibos y la lógica de reproducción dentro del propio protocolo Harmony. Para los operadores, este historial es relevante porque introduce riesgos operativos y de red que no pueden medirse únicamente mediante gráficos de precios.

No se trató de un movimiento de mercado convencional provocado únicamente por cambios en la demanda. La oferta subyacente del activo se modificó sin autorización, y la magnitud de dicho cambio era incierta mientras el mercado ya estaba reajustando el precio de ONE. Una orden de stop puede reducir la exposición a las fluctuaciones de precios cuando hay liquidez y ejecución disponibles, pero no puede evitar la dilución ni eliminar el riesgo a nivel de protocolo.

Esta distinción es especialmente importante en el caso de activos de menor capitalización. Los indicadores técnicos pueden mostrar el comportamiento del precio, pero no permiten saber si la contabilidad de tokens, el software de validación o la lógica de interconexión de fragmentos de una cadena funcionan correctamente. Por lo tanto, el riesgo del protocolo debe considerarse por separado de la configuración de la operación.

El incidente de Harmony también demuestra por qué no siempre basta con consultar una sola cifra de oferta. Cuando se produce un incidente de seguridad, los operadores deben tener en cuenta el estado de la red, los depósitos y retiros de las plataformas de intercambio, las operaciones puente y los datos independientes en la cadena de bloques, además del precio de mercado cotizado.

Conozca su precio de liquidación y su margen de seguridad antes de invertir en un activo volátil de baja capitalización. El mercado puede retirar su dinero rápidamente. Un protocolo defectuoso puede hacerlo mientras le indica que todo está bien.