Harmony ONEの不正利用：40億ONEが確認され、調査の結果、3兆100億ONEであることが判明

2026年8月12日、Harmony ONEの脆弱性を悪用した攻撃により、クロスシャードレシート検証の欠陥を利用して、ネットワークのネイティブトークンが不正に作成されました。Harmonyは当初40億ONEを発行したことを確認していますが、最新の再構築結果によると、偽造された6つのクロスシャードトランザクションによって、合計で約3.01兆ONEが発行された可能性があります。プロジェクトは現在もこれらの数値を調整中であるため、3.01兆という推定値はまだ最終的な確定値として扱うべきではありません。

ONEは、この不正行為のニュースが市場に伝わると、約40%下落した。オンチェーン研究者のJuicebergは当初、最初に検出されたミントから約28億ONEが取引所に送られたと報告し、HarmonyのtotalSupplyエンドポイントが不正トークンをすぐに反映しなかったことも発見した。Harmonyはその後、この不正行為とその技術的な原因を確認したが、供給エンドポイントの不一致は、Harmonyのインシデントレポートに独自に記載された詳細ではなく、調査員が報告した発見事項のままとなっている。

• Harmonyは、2026年8月12日に不正なONEコイン発行攻撃を受けました。

• このプロジェクトでは、当初40億ONEが発行されたことが確認され、その後の再構築では、6回の偽造されたクロスシャード取引を通じて約3兆100億ONEが作成されたことが示唆されている。

• Harmonyのコード変更により、クロスシャードレシートリプレイ攻撃に対する保護機能とクォーラム検証機能に弱点があることが明らかになった。

• さらなる悪用を防ぐため、緊急リリースv2026.1.1が展開され、同時にブリッジサービスは停止されました。

• Harmony社は、今回の脆弱性攻撃が発生する前のブロック92,730,034へのロールバックを準備しています。

技術的なレベルでは、この攻撃は、ネットワークの異なる部分間でトランザクション結果を伝達するために使用されるクロスシャードレシートをHarmonyが処理する方法を標的としていました。Harmonyが公開したコード変更により、2つの重要な脆弱性が明らかになりました。1つは、必要なバリデーターの承認なしにクォーラムチェックを成功させる可能性があり、もう1つは、以前に処理されたレシートが未使用であるかのように見せかけ、対応するデビットなしに宛先に再度クレジットを与えることを可能にするものでした。

これらの数字は、最初の報告で示唆されていたよりも慎重な検討が必要であることを示している。ハーモニーによると、最初に確認された活動は、それぞれ10億ONEと30億ONEを生成した2つの空ブロック取引から構成されていた。しかし、その後の再構築により、4つの攻撃者ウォレットが関与する6つの偽造クロスシャード取引が特定され、潜在的な総発行額は約3兆100億ONEと推定された。ハーモニーは、最初の40億ONEという数字と、はるかに大きな再構築結果との差を現在も検証中である。

これはつまり、広く報じられている「今回の攻撃でONEの供給量が約26%増加した」という主張は、攻撃前に報告されていた約150億ONEに対し、当初の推定値である40億ONEの増加にのみ適用されるということである。現在調査中の3兆100億ONEという数字を説明するために用いるべきではない。

最も異例な詳細の一つは、Juicebergによる最初の調査から明らかになった。同研究者によると、HarmonyのtotalSupplyエンドポイントには、新たに作成されたONEがすぐには含まれていなかった。その間にも、不正なトークンは既にネットワーク上を流通し、取引所へと向かっていた。そのため、公開されている価格トラッカーは、報告された新規発行分を考慮しない供給量を表示し続けていた。

トークンの供給量は、希薄化、時価総額、資産の希少性を評価するための基本的な入力値であるため、これは重要です。基盤となるチェーンを独自に照合することなく、古い供給量データに依存するサービスは、突然の発行イベントの規模を過小評価する可能性があります。しかし、すべてのウォレット、取引所、データプラットフォームがHarmonyのtotalSupplyエンドポイントに完全に依存していると言うのは、あまりにも広範すぎます。

トレーダーやデータプロバイダーにとって、不正確または遅延した供給データは、いくつかの基本的な指標を歪める可能性があります。

• 流通供給量。新規に作成されたトークンは報告された数値に反映されない可能性があるため。

• 時価総額は、トークン価格と流通しているトークン数の両方によって決まる。

• 希薄化の推定値であり、既存保有株の価値がどれだけ下落したかを判断するのが難しくなる。

• リスク監視は、供給量の異常な増加は通常、不正鋳造の最も明確な兆候の1つであるためである。

この区別は重要である。不正行為そのものが経済的リスクを生み出した一方で、報告された供給量の不一致によって、標準的な監視ツールではそのリスクを特定することが困難になった可能性がある。したがって、問題はONEの価格が下落したことだけではなく、事件発生中にONEの流通量が不確実になったことにある。

このような記事は、当サイトの仮想通貨ニュースページでさらにご覧いただけます。

Harmonyは8月12日午前6時30分（UTC）にメインネットバージョンv2026.1.1をリリースしました。このアップデートでは、クォーラム計算やレシートが既に処理済みかどうかを判断するメカニズムなど、クロスシャードレシートロジックの修正が組み込まれています。また、Harmonyはブリッジサービスを一時停止し、エクスプロイトに関連する資金について取引所やその他のインフラプロバイダーとの連携を開始しました。

プロジェクトは現在、不正なコイン発行以前のブロック92,730,034までネットワークをロールバックする準備を進めている。その後、Harmonyがバリデーターや取引所と連携してロールバックを調整する間、シャード0はブロック92,753,555で一時停止された。

ロールバックによって正規チェーンから不正な状態変更を削除できる可能性がある一方で、別の問題も発生します。選択されたロールバックポイント以降に正当に完了したトランザクションも影響を受ける可能性があるため、ネットワークが正常な動作を再開する前に、バリデーター、取引所、インフラストラクチャプロバイダー間の連携が重要になります。

2026年8月の事件は、ハーモニー社を巡る過去2件の問題に続くものだ。2022年6月には、攻撃者がホライズン・ブリッジのセキュリティを侵害し、約1億ドルを盗み出した。FBIは後に、この窃盗事件は北朝鮮のラザルス・グループによる犯行だと断定した。

その後、Harmonyは2023年12月に別のトークン生成問題に見舞われた。ステーキングのバグにより、約1億4630万ONEが不適切に生成され、その一部は後に取引所に送金された。

2026年の攻撃は、技術的にはどちらのケースとも異なります。2022年の攻撃はブリッジを標的としたものでしたが、今回の事件はHarmonyプロトコル内部のレシート検証とリプレイロジックに関するものです。トレーダーにとって、この経緯は重要です。なぜなら、価格チャートだけでは測れないネットワークリスクや運用リスクをもたらすからです。

これは、需要の変化のみによって引き起こされる従来型の市場変動ではありませんでした。資産の供給量が無許可で変更され、市場がONEの価格を再調整している間、その変更規模は不確実でした。ストップ注文は、流動性と執行が可能な場合に価格変動へのエクスポージャーを軽減できますが、希薄化を防いだり、プロトコルレベルのリスクを排除したりすることはできません。

この区別は、特に小型株資産において重要となる。テクニカル指標は価格の動向を示すことはできるが、チェーンのトークン会計、バリデーターソフトウェア、クロスシャードロジックが正しく機能しているかどうかは判断できない。したがって、プロトコルリスクは取引設定自体とは別に考慮する必要がある。

Harmonyの事件は、供給量の数値を一つだけ確認するだけでは不十分な場合がある理由も示している。セキュリティインシデントが発生している場合、トレーダーは提示された市場価格だけでなく、ネットワークの状態、取引所の入出金状況、ブリッジ操作、独立したオンチェーンデータなども考慮する必要がある。

変動の激しい小型株に投資する前に、 清算価格とドローダウンバッファーを把握しておきましょう。市場はあっという間に資金を奪い去る可能性があります。プロトコルが破綻していると、すべてが順調だと表示されていても、実際には資金が奪われてしまうのです。