La blockchain Harmony a subi un important exploit de sécurité qui a entraîné la frappe frauduleuse d’environ 4 milliards de jetons ONE, soit environ 26 % de l’offre totale de la cryptomonnaie. L’attaque a exploité une vulnérabilité liée aux blocs vides et a provoqué un mouvement rapide des nouveaux jetons à travers des centaines de portefeuilles. L’incident constitue la deuxième faille de sécurité majeure pour Harmony, après le piratage distinct de 100 millions de dollars de son Horizon Bridge en juin 2022. Contrairement à cette attaque précédente, qui visait le pont inter-chaînes reliant Harmony à d’autres réseaux, cet exploit semble provenir d’une vulnérabilité dans la logique centrale de traitement des blocs de la blockchain.

L’ampleur de l’exploit a soulevé de vives inquiétudes quant à son impact sur les détenteurs existants de ONE, la stabilité du marché et l’intégrité de l’historique des transactions de la blockchain. Plus de 10,000 transferts impliquant les jetons frappés frauduleusement ont été retracés à travers 409 portefeuilles. Parmi ces jetons, environ 2,8 milliards auraient été transférés vers des plateformes de cryptomonnaies, contribuant à une forte baisse du prix de ONE, qui a chuté jusqu’à 50 %.

Harmony a réagi en déployant un correctif logiciel d’urgence, en demandant aux validateurs de mettre à niveau leurs nœuds, en mettant son service de pont en pause et en coordonnant avec les plateformes d’échange le gel des fonds liés à l’exploit.

Harmony retrace les fonds et alerte les plateformes d’échange

Harmony a indiqué que son enquête avait identifié 10,288 transferts impliquant les jetons concernés répartis sur 409 portefeuilles. Le projet a également informé ses partenaires sur les plateformes d’échange de centaines de dépôts suspects associés aux fonds volés.

Selon Harmony, les partenaires des plateformes d’échange ont réagi en bloquant et en gelant les portefeuilles identifiés comme contrôlés par les pirates. L’équipe a également fourni aux plateformes des informations reliant les fonds suspects à quatre adresses de portefeuille considérées comme liées à l’exploit.

Cette opération vise à empêcher que les jetons ONE créés frauduleusement soient convertis en d’autres actifs ou retirés des plateformes de négociation pendant que l’équipe de la blockchain détermine comment traiter les dommages sous-jacents.

Harmony a également suspendu son service de pont, bridge.harmony.one, à la suite de l’incident. Cette mesure visait à réduire la possibilité d’un nouveau déplacement des actifs concernés pendant la réponse d’urgence.

Le correctif d’urgence cible la vulnérabilité de frappe

Harmony a publié une mise à jour logicielle d’urgence désignée v2026.1.1 et a demandé aux validateurs de mettre à niveau leurs nœuds. Le correctif a été conçu pour empêcher l’exploitation de la vulnérabilité afin de créer des jetons supplémentaires.

We are asking all exchanges to block and freeze funds that traces back to these 4 wallet addresses:

one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn

0xe7427699427821230177dd13f460d6ce43014510

one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4

0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5…

— Harmony (@harmonyprotocol) August 12, 2026

Le projet blockchain a indiqué que 53 % de ses validateurs avaient terminé la mise à niveau environ quatre heures après la publication du correctif d’urgence. Harmony a remercié les validateurs et les autres participants pour leur soutien dans cette réponse rapide, tout en continuant à travailler sur des mesures visant les jetons déjà frappés.

La distinction entre l’arrêt de nouvelles frappes et la résolution de l’augmentation existante de l’offre reste importante. Si le correctif peut empêcher la même vulnérabilité de générer davantage de jetons, il ne supprime pas automatiquement les milliards de ONE déjà créés par l’exploit.

Un rollback pourrait modifier les transactions récentes

Harmony a indiqué qu’un rollback de la blockchain était apparu comme la solution la plus pratique à l’étude. Une telle mesure pourrait potentiellement supprimer les transactions frauduleuses de la chaîne et ramener le registre à un état antérieur à l’exploit. Le précédent historique le plus connu pour cette approche est le hard fork de 2016 de la communauté Ethereum après le piratage du DAO, qui a annulé les transactions malveillantes mais a aussi conduit à la scission de la chaîne en deux blockchains distinctes — Ethereum et Ethereum Classic — après qu’une partie des utilisateurs a continué la chaîne originale, non modifiée.

Due to the incident, we have paused .

— Harmony (@harmonyprotocol) August 12, 2026

Cependant, un rollback pourrait créer des complications pour les utilisateurs légitimes. Les transactions impliquant les jetons concernés ont peut-être transité par des plateformes d’échange ou d’autres portefeuilles avant que les fonds ne soient identifiés. L’inversion de l’activité de la blockchain pourrait donc affecter des utilisateurs qui ont acquis ces actifs sans savoir qu’ils étaient liés à l’exploit.

All validators, please upgrade. This patch prevents any further minting. We'll follow up with another update to address the already minted tokens.

— Harmony (@harmonyprotocol) August 12, 2026

Dans le même temps, laisser les jetons frauduleux en circulation pourrait diluer considérablement les détenteurs existants, car la frappe non autorisée a augmenté l’offre effective de plusieurs milliards de ONE.

La décision concernant le rollback représente donc un arbitrage majeur : supprimer l’activité frauduleuse pourrait rétablir l’offre prévue de jetons, tandis qu’annuler des transactions pourrait aussi affecter des utilisateurs légitimes ayant interagi avec la blockchain après l’exploit.

We traced 10288 transfers across all 409 wallets where the fraudulently minted tokens have landed, and alerted exchange partners on hundreds of suspicious deposit transactions. They promptly blocked the hacker's wallets. As of now, 53% of our validators completed the upgrade…

— Harmony (@harmonyprotocol) August 12, 2026

Harmony a indiqué qu’elle fournirait des détails supplémentaires après avoir évalué les options disponibles. Jusqu’à ce qu’une résolution finale soit trouvée, le projet s’appuie sur les mises à niveau des validateurs, le gel des fonds au niveau des plateformes d’échange et la suspension de son pont pour contenir l’incident.

L’exploit souligne les risques de sécurité persistants auxquels sont confrontés les réseaux blockchain, où une vulnérabilité affectant le traitement des transactions ou la validation des blocs peut avoir des conséquences immédiates sur l’offre de jetons, les prix du marché et les fonds des utilisateurs. L’incident met également en évidence l’importance d’une coordination rapide entre les développeurs blockchain, les validateurs et les plateformes de cryptomonnaies lors de la réponse à des failles de sécurité de grande ampleur.

Avec le correctif d’urgence empêchant désormais toute nouvelle frappe frauduleuse, le prochain défi majeur d’Harmony consiste à déterminer comment gérer les quelque 4 milliards de jetons ONE déjà créés sans perturber inutilement les utilisateurs légitimes.