Exploitation de Harmony ONE : 4 milliards confirmés, l’examen pointant vers 3,01 billions

Le 12 août 2026, une faille de sécurité exploitée par Harmony ONE a permis la création non autorisée du jeton natif du réseau, exploitant des vulnérabilités dans la validation des reçus inter-shards. Harmony a confirmé une émission initiale de 4 milliards de ONE, tandis que sa dernière analyse indique que six transactions inter-shards falsifiées auraient émis environ 3,01 billions de ONE au total. Le projet est toujours en train de vérifier ces chiffres ; par conséquent, l’estimation de 3,01 billions ne doit pas encore être considérée comme un montant définitif.

Le cours de ONE a chuté d'environ 40 % suite à la diffusion de l'information concernant la faille de sécurité. Juiceberg, chercheur spécialisé dans la blockchain, a initialement signalé qu'environ 2,8 milliards de ONE, issus de la première création frauduleuse détectée, avaient été transférés vers les plateformes d'échange. Il a également constaté que le point de terminaison totalSupply de Harmony ne reflétait pas immédiatement les jetons non autorisés. Harmony a depuis confirmé la faille et sa cause technique, bien que l'écart constaté au niveau du point de terminaison totalSupply demeure une observation rapportée par un enquêteur plutôt qu'un détail documenté indépendamment dans le rapport d'incident de Harmony.

• Harmony a subi une exploitation non autorisée de la création de ONE le 12 août 2026.

• Le projet a confirmé une création initiale de 4 milliards de ONE, tandis qu'une reconstruction ultérieure indique qu'environ 3,01 billions de ONE ont été créés par le biais de six transactions croisées falsifiées.

• Les modifications apportées au code d'Harmony révèlent des faiblesses dans la protection contre la relecture des reçus inter-fragments et dans la vérification du quorum.

• Une version d'urgence v2026.1.1 a été déployée pour empêcher toute exploitation ultérieure, tandis que les services de passerelle ont été suspendus.

• Harmony prépare une restauration pour bloquer le bloc 92 730 034, avant que l’exploitation ne se produise.

Sur le plan technique, l'exploit ciblait la manière dont Harmony traite les reçus inter-shards, utilisés pour communiquer les résultats des transactions entre les différentes parties du réseau. Les modifications de code publiées par Harmony révèlent deux failles importantes. L'une permettait à une vérification de quorum de réussir sans les approbations requises des validateurs, tandis que l'autre pouvait faire apparaître un reçu précédemment traité comme inutilisé, permettant ainsi à la destination d'être créditée à nouveau sans débit correspondant.

Ces chiffres appellent à une plus grande prudence que ne le laissaient entendre les premiers rapports. Harmony indique que la première activité confirmée consistait en deux transactions de blocs vides ayant créé respectivement 1 milliard et 3 milliards de ONE. Cependant, sa reconstruction ultérieure a identifié six transactions inter-shards falsifiées impliquant quatre portefeuilles d'attaquants et porte l'émission totale potentielle à environ 3,01 billions de ONE. Harmony vérifie encore la différence entre le chiffre initial de 4 milliards et le chiffre reconstruit, bien plus élevé.

Cela signifie également que l'affirmation largement relayée selon laquelle l'exploitation de la faille aurait augmenté l'offre de ONE d'environ 26 % ne s'applique qu'à l'estimation initiale de 4 milliards, contre environ 15 milliards de ONE recensés avant l'attaque. Elle ne doit pas être utilisée pour décrire le chiffre potentiel de 3 010 milliards actuellement sous enquête.

L'un des détails les plus surprenants est apparu lors de l'enquête initiale de Juiceberg. Le chercheur a constaté que le point de terminaison totalSupply d'Harmony n'intégrait pas immédiatement le nouveau jeton ONE, alors même que des jetons non autorisés circulaient déjà sur le réseau et étaient destinés aux plateformes d'échange. Par conséquent, les outils publics de suivi des prix affichaient toujours des chiffres d'offre qui ne tenaient pas compte de la nouvelle émission.

Cela est important car l'offre de jetons est un élément essentiel pour évaluer la dilution, la capitalisation boursière et la rareté d'un actif. Tout service s'appuyant sur des données d'offre obsolètes sans vérification indépendante de la blockchain sous-jacente risque de sous-estimer l'ampleur d'une création soudaine de jetons. Il serait toutefois trop généraliser et affirmer que chaque portefeuille, plateforme d'échange ou plateforme de données dépend exclusivement du point de terminaison totalSupply de Harmony.

Pour les négociants et les fournisseurs de données, des données d'approvisionnement incorrectes ou tardives peuvent fausser plusieurs indicateurs de base :

• Offre en circulation, car les jetons nouvellement créés peuvent ne pas apparaître dans le chiffre rapporté.

• La capitalisation boursière dépend à la fois du prix du jeton et du nombre de jetons en circulation.

• Les estimations de dilution rendent plus difficile l'évaluation de la déévaluation des avoirs existants.

• Surveillance des risques, car une augmentation anormale de l'offre serait normalement l'un des signes les plus clairs de frappe non autorisée.

Cette distinction est importante. L'exploitation de la faille a engendré le risque économique, tandis que l'écart d'approvisionnement constaté a potentiellement rendu ce risque plus difficile à identifier par les outils de surveillance classiques. Le problème n'était donc pas simplement la baisse du prix de ONE, mais l'incertitude quant à la quantité de ONE en circulation pendant le déroulement de l'incident.

Vous trouverez d'autres articles de ce type sur notre page d'actualités crypto .

Harmony a déployé la version v2026.1.1 du réseau principal le 12 août à 06h30 UTC. Cette mise à jour corrigeait la logique de réception des transactions inter-shards, notamment le calcul du quorum et le mécanisme permettant de déterminer si une réception avait déjà été traitée. Harmony a également suspendu ses services de pontage et a entamé une coordination avec les plateformes d'échange et autres fournisseurs d'infrastructure concernant les fonds liés à la faille de sécurité.

Le projet se prépare actuellement à restaurer le réseau au bloc 92 730 034, antérieur à la création non autorisée de jetons. Le shard 0 a ensuite été suspendu au bloc 92 753 555 pendant que Harmony coordonnait la restauration avec les validateurs et les plateformes d'échange.

Une restauration permettrait de supprimer les modifications d'état frauduleuses de la chaîne canonique, mais elle engendre également un autre problème : les transactions légitimes effectuées après le point de restauration sélectionné peuvent aussi être affectées. C'est pourquoi la coordination entre les validateurs, les plateformes d'échange et les fournisseurs d'infrastructure est essentielle avant que le réseau ne reprenne son fonctionnement normal.

L'incident d'août 2026 fait suite à deux problèmes antérieurs impliquant le système Harmony. En juin 2022, des pirates informatiques ont dérobé environ 100 millions de dollars sur le pont Horizon après avoir compromis sa sécurité. Le FBI a par la suite attribué ce vol au groupe nord-coréen Lazarus.

Harmony a ensuite connu un autre problème de création de jetons en décembre 2023. Un bug de staking a entraîné la création incorrecte d'environ 146,3 millions de ONE, dont une partie a ensuite été transférée vers une plateforme d'échange.

L'exploitation de 2026 diffère techniquement des deux précédentes. L'attaque de 2022 visait le pont, tandis que l'incident actuel concerne la validation des reçus et la logique de relecture au sein même du protocole Harmony. Pour les traders, cet historique est important car il met en évidence des risques réseau et opérationnels qui ne peuvent être évalués par la seule analyse des graphiques de prix.

Il ne s'agissait pas d'une fluctuation de marché classique due uniquement à une variation de la demande. L'offre sous-jacente de l'actif a été modifiée sans autorisation, et l'ampleur de cette modification était incertaine alors que le marché procédait déjà à une réévaluation du prix de ONE. Un ordre stop peut réduire l'exposition aux variations de prix lorsque la liquidité et l'exécution sont assurées, mais il ne peut empêcher la dilution ni éliminer le risque lié au protocole.

Cette distinction est particulièrement importante pour les actifs à faible capitalisation. Les indicateurs techniques peuvent indiquer l'évolution des prix, mais ils ne permettent pas de vérifier le bon fonctionnement de la comptabilité des jetons, du logiciel de validation ou de la logique inter-shards d'une blockchain. Le risque lié au protocole doit donc être considéré indépendamment de la configuration de trading elle-même.

L'incident Harmony démontre également pourquoi la vérification d'un seul indicateur d'offre ne suffit pas toujours. En cas d'incident de sécurité, les traders doivent prendre en compte l'état du réseau, les dépôts et retraits sur la plateforme d'échange, les opérations de pontage et les données indépendantes de la blockchain, en plus du prix de marché affiché.

Avant de prendre position sur un actif volatil à faible capitalisation, déterminez votre prix de liquidation et votre marge de perte . Le marché peut vous faire perdre votre argent très rapidement. Un protocole défaillant peut en faire autant, même si vous croyez que tout va bien.