Harmony ONE漏洞：经审查确认，泄露金额达40亿枚，最终泄露金额达3.01万亿枚。

2026年8月12日，Harmony ONE漏洞利用了跨分片收据验证中的缺陷，允许未经授权地创建该网络的原生代币。Harmony已确认初始铸造了40亿枚ONE，而其最新的重建结果显示，六笔伪造的跨分片交易可能总共发行了约3.01万亿枚ONE。该项目仍在核对这些数据，这意味着3.01万亿枚的估计值目前还不应被视为最终结算总数。

漏洞曝光后，ONE 价格下跌约 40%。链上研究员 Juiceberg 最初报告称，在首次发现的增发活动中，约有 28 亿枚 ONE 流入交易所，并且发现 Harmony 的 totalSupply 端点并未立即反映出这些未经授权的代币。Harmony 随后确认了此次漏洞及其技术原因，但供应量与端点之间的差异仍是调查人员报告的发现，而非 Harmony 事件报告中独立记录的细节。

• 2026 年 8 月 12 日，Harmony 遭遇了未经授权的 ONE 铸币漏洞。

• 该项目已确认最初铸造了 40 亿枚 ONE，而后来的重建表明，通过六笔伪造的跨分片交易，大约创建了 3.01 万亿枚 ONE。

• Harmony 的代码更改显示，跨分片收据重放保护和仲裁验证存在缺陷。

• 紧急版本 v2026.1.1 已部署以防止进一步攻击，同时桥接服务已暂停。

• Harmony 正在准备回滚到漏洞发生之前的 92,730,034 个缓存。

从技术层面来看，此次漏洞利用的目标是 Harmony 处理跨分片收据的方式，这些收据用于在网络的不同部分之间传递交易结果。Harmony 已公布的代码变更显示了两个相关的漏洞。其中一个漏洞可能允许在没有所需验证者批准的情况下通过法定人数检查，而另一个漏洞可能使先前处理的收据显示为未使用状态，从而允许在没有相应扣款的情况下再次向目标账户贷记。

这些数字需要比最初报告所暗示的更为谨慎。Harmony 表示，首次确认的活动包括两笔空区块交易，分别生成了 10 亿和 30 亿枚 ONE。然而，其后续的重建分析发现，有六笔伪造的跨分片交易涉及四个攻击者钱包，并将潜在的总发行量估算为约 3.01 万亿枚 ONE。Harmony 仍在核实最初 40 亿枚 ONE 的数字与重建结果之间更大的差异。

这也意味着，此前广泛报道的“此次漏洞利用使ONE代币供应量增加了约26%”的说法，仅适用于最初估计的40亿枚ONE代币（攻击前ONE代币的供应量约为150亿枚），而不应用于描述目前正在调查的可能高达3.01万亿枚的供应量。

最不寻常的细节之一来自 Juiceberg 的初步调查。该研究人员报告称，Harmony 的 totalSupply 端点并未立即包含新创建的 ONE 代币，即便未经授权的代币已经在网络中流通并流向交易所。因此，公开的价格追踪器仍然显示未计入已公布的增发量的供应数据。

这一点至关重要，因为代币供应量是评估稀释、市值和资产稀缺性的基本输入。任何依赖过时供应量数据而未独立核对底层区块链的服务都可能低估突发增发事件的规模。然而，如果说所有钱包、交易所或数据平台都完全依赖 Harmony 的 totalSupply 端点，那就过于笼统了。

对于交易者和数据提供商而言，不正确或延迟的供应数据会扭曲几个基本指标：

• 流通供应量，因为新创建的代币可能不会出现在已公布的数据中。

• 市值取决于代币价格和流通中的代币数量。

• 稀释估算使得判断现有持股贬值幅度变得更加困难。

• 风险监控，因为供应异常增加通常是未经授权铸币最明显的迹象之一。

这种区别至关重要。漏洞利用本身造成了经济风险，而已报告的供应差异则可能使这种风险更难通过标准监控工具识别。因此，问题不仅仅在于ONE的价格下跌，还在于事件发生期间ONE的实际存量变得不确定。

您可以在我们的加密货币新闻页面上找到更多类似的新闻报道。

Harmony 于 8 月 12 日 06:30 UTC 发布了主网版本 v2026.1.1。此次更新修复了跨分片收据逻辑，包括法定人数计算以及用于判断收据是否已被处理的机制。Harmony 还暂停了桥接服务，并开始与交易所和其他基础设施提供商协调处理与此次漏洞相关的资金。

该项目目前正准备将网络回滚至区块高度 92,730,034，该区块早于未经授权的铸币事件。随后，分片 0 在区块高度 92,753,555 暂停运行，Harmony 团队正在与验证节点和交易所协调回滚工作。

回滚操作可以从规范链中移除欺诈性的状态更改，但同时也会带来另一个问题。在选定的回滚点之后合法完成的交易也可能受到影响，因此在网络恢复正常运行之前，验证者、交易所和基础设施提供商之间的协调至关重要。

2026年8月发生的这起事件是继Harmony公司此前两次出现问题之后发生的。2022年6月，攻击者在攻破地平线大桥的安全系统后，窃取了约1亿美元。联邦调查局后来将这起盗窃案归咎于朝鲜的拉撒路集团。

2023 年 12 月，Harmony 又遭遇了一次代币创建问题。由于质押漏洞，大约有 1.463 亿枚 ONE 被错误地创建，其中一部分后来转移到了交易所。

2026 年的漏洞利用在技术上与前两次事件有所不同。2022 年的攻击涉及网桥，而本次事件则涉及 Harmony 协议内部的收据验证和重放逻辑。对于交易者而言，这段历史意义重大，因为它引入了仅凭价格图表无法衡量的网络和运营风险。

这并非仅由需求变化引起的常规市场波动。资产的基础供应在未经授权的情况下被改变，且改变的规模尚不确定，而此时市场已经开始对ONE进行重新定价。止损单可以在流动性和执行条件允许的情况下降低价格波动风险，但它无法防止稀释或消除协议层面的风险。

对于市值较小的资产而言，这种区别尤为重要。技术指标可以告诉你价格走势，但它们无法告诉你区块链的代币记账、验证器软件或跨分片逻辑是否正常运行。因此，协议风险需要与交易设置本身分开考虑。

Harmony事件也表明，仅仅查看一个供应量数据并不总是足够的。当安全事件发生时，交易者除了关注报价市场价格外，还需要考虑网络状态、交易所的充值和提现情况、桥接操作以及独立的链上数据。

在买入任何波动性较大的低市值资产之前，务必了解你的清算价格和回撤缓冲空间。市场可能迅速吞噬你的资金。即使协议存在缺陷，也可能在一切正常的情况下让你蒙受损失。