Експлойт Harmony ONE: 4 мільярди ONE підтверджено, оскільки огляд вказує на 3,01 трильйона

12 серпня 2026 року експлойт Harmony ONE дозволив несанкціоноване створення власного токена мережі через недоліки у перевірці квитанцій між шардами. Harmony підтвердила початкову кількість 4 мільярдів ONE, тоді як її остання реконструкція показує, що шість підроблених транзакцій між шардами могли випустити приблизно 3,01 трильйона ONE загалом. Проект все ще звіряє ці цифри, а це означає, що оцінку в 3,01 трильйона ще не слід розглядати як остаточну розрахункову суму.

Ціна ONE впала приблизно на 40%, коли новини про експлойт досягли ринку. Дослідник блокчейну Juiceberg спочатку повідомив, що приблизно 2,8 мільярда ONE з першої виявленої монети перемістилися на біржі, а також виявив, що кінцева точка totalSupply Harmony не одразу відображала несанкціоновані токени. Harmony з того часу підтвердила експлойт та його технічну причину, хоча розбіжність між пропозицією та кінцевою точкою залишається результатом, повідомленим слідчим, а не деталлю, незалежно задокументованою у звіті Harmony про інцидент.

• 12 серпня 2026 року Harmony зазнала несанкціонованого експлойту для мінтингу ONE.

• Проєкт підтвердив початкову кількість випущених 4 мільярдів ONE, тоді як пізніша реконструкція вказує на приблизно 3,01 трильйона ONE, створених шляхом шести підроблених транзакцій між шардами.

• Зміни в коді Harmony показують слабкі місця в захисті від повторного відтворення квитанцій між шардами та перевірці кворуму.

• Для запобігання подальшому використанню було розгорнуто аварійний реліз v2026.1.1, а роботу мосту було призупинено.

• Harmony готує відкат до блоку 92 730 034, до того, як стався експлойт.

На технічному рівні експлойт був спрямований на те, як Harmony обробляє крос-шардові квитанції, які використовуються для передачі результатів транзакцій між різними частинами мережі. Опубліковані зміни коду Harmony показують дві важливі слабкі місця. Одна може дозволити успішну перевірку кворуму без необхідних схвалень валідатора, а інша може зробити так, що раніше оброблена квитанція виглядатиме невикористаною, що дозволить повторно зарахувати кошти на рахунок призначення без відповідного списання коштів.

Цифри вимагають більшої обережності, ніж передбачалося в перших звітах. Harmony стверджує, що перша підтверджена активність складалася з двох транзакцій порожніх блоків, які створили 1 мільярд та 3 мільярди ONE відповідно. Однак її подальша реконструкція виявила шість підроблених крос-шардових транзакцій, що включали чотири гаманці зловмисника, і оцінила потенційний загальний обсяг емісії приблизно в 3,01 трильйона ONE. Harmony все ще перевіряє різницю між початковою цифрою в 4 мільярди та набагато більшою реконструкцією.

Це також означає, що широко поширене твердження про те, що експлойт збільшив пропозицію ONE приблизно на 26%, стосується лише початкової оцінки в 4 мільярди порівняно з приблизно 15 мільярдами ONE, про які повідомлялося до атаки. Його не слід використовувати для опису можливої цифри в 3,01 трильйона, яка зараз розслідується.

Одна з найнезвичайніших деталей виявилася під час початкового розслідування Джусіберга. Дослідник повідомив, що кінцева точка totalSupply компанії Harmony не одразу включала щойно створений ONE, навіть коли неавторизовані токени вже рухалися мережею до бірж. Відповідно, публічні трекери цін все ще відображали показники пропозиції, які не враховували заявлену кількість токенів.

Це важливо, оскільки пропозиція токенів є основним вхідним показником для оцінки розмивання, ринкової капіталізації та дефіциту активу. Будь-який сервіс, що покладається на дані про застарілі пропозиції без незалежного узгодження базового ланцюжка, може недооцінити масштаб раптової події мінтингу. Однак було б занадто загально стверджувати, що кожен гаманець, біржа чи платформа даних залежали виключно від кінцевої точки totalSupply Harmony.

Для трейдерів та постачальників даних неправильні або затримані дані про постачання можуть спотворювати кілька основних показників :

• Обігова пропозиція, оскільки новостворені токени можуть не відображатися у звітному показнику

• Ринкова капіталізація, яка залежить як від ціни токена, так і від кількості токенів в обігу

• Оцінки розмивання, що ускладнює оцінку того, наскільки знецінилися існуючі активи

• Моніторинг ризиків, оскільки аномальне збільшення пропозиції зазвичай є однією з найяскравіших ознак несанкціонованого карбування монет

Ця відмінність важлива. Сам експлойт створив економічний ризик, тоді як заявлене розбіжність у постачанні потенційно ускладнило виявлення цього ризику за допомогою стандартних інструментів моніторингу. Тому проблема полягала не лише в падінні ціни на ONE, а й у тому, що кількість ONE, яка, як вважається, існувала, стала невизначеною під час розгортання інциденту.

Ви можете знайти більше подібних історій на нашій сторінці новин про криптовалюти .

Harmony випустила версію 2026.1.1 для основної мережі 12 серпня о 06:30 UTC. Оновлення включало виправлення логіки обробки квитанцій між шардами, зокрема розрахунок кворуму та механізм, що використовується для визначення того, чи квитанція вже була оброблена. Harmony також призупинила свої послуги мосту та почала координувати дії з біржами та іншими постачальниками інфраструктури щодо коштів, пов'язаних з експлойтом.

Зараз проєкт готується до відкату мережі до блоку 92 730 034, який передував несанкціонованому карбуванні. Шард 0 згодом був призупинений на блоці 92 753 555, поки Harmony координувала відкат з валідаторами та біржами.

Відкат може видалити шахрайські зміни стану з канонічного ланцюжка, але він також створює окрему проблему. Транзакції, легітимно завершені після вибраної точки відкату, також можуть бути вражені, тому важлива координація між валідаторами, біржами та постачальниками інфраструктури, перш ніж мережа відновить нормальну роботу.

Інцидент у серпні 2026 року стався після двох попередніх проблем, пов'язаних з Harmony. У червні 2022 року зловмисники вкрали близько 100 мільйонів доларів з мосту Horizon після порушення його безпеки. Пізніше ФБР приписало крадіжку північнокорейській групі Lazarus Group.

Потім, у грудні 2023 року, Harmony зіткнулася з окремою проблемою зі створенням токенів. Помилка стейкингу призвела до того, що приблизно 146,3 мільйона ONE було створено неналежним чином, частина цієї суми пізніше перемістилася на біржу.

Експлойт 2026 року технічно відрізняється від обох випадків. Атака 2022 року стосувалася мосту, тоді як поточний інцидент стосується перевірки квитанцій та логіки відтворення всередині самого протоколу Harmony. Для трейдерів ця історія є актуальною, оскільки вона створює мережеві та операційні ризики, які неможливо виміряти лише за допомогою цінових графіків.

Це не був звичайний рух ринку, спричинений лише зміною попиту. Базова пропозиція активу була змінена без дозволу, і масштаб цієї зміни був невизначеним, тоді як ринок вже переоцінював ONE. Стоп-ордер може зменшити вплив цінових коливань, коли доступна ліквідність та виконання, але він не може запобігти розмиванню або усунути ризик на рівні протоколу.

Ця відмінність особливо важлива для активів з малою капіталізацією. Технічні індикатори можуть розповісти вам, як поводиться ціна, але вони не можуть сказати, чи правильно працює облік токенів, програмне забезпечення для валідатора або логіка крос-шардів у ланцюжку. Тому ризик протоколу потрібно розглядати окремо від самої торгової конфігурації.

Інцидент Harmony також показує, чому перевірки одного показника пропозиції не завжди достатньо. Коли активний інцидент безпеки, трейдерам необхідно враховувати стан мережі, обмінні депозити та зняття коштів, мостові операції та незалежні дані в мережі, а також котирувану ринкову ціну.

Перш ніж відкривати будь-яку позицію в волатильному активі з низькою капіталізацією, знайте свою ціну ліквідації та буфер просідання . Ринок може швидко забрати ваші гроші. Зламаний протокол може зробити це, водночас кажучи вам, що все гаразд.