Le token ONE de Harmony a chuté de près de 40 % mercredi après qu'un attaquant aurait frappé environ 4 milliards de tokens sans autorisation et transféré des milliards de ONE vers des plateformes d'échange centralisées.

Harmony coordonne ses efforts avec les plateformes d'échange pour suspendre et bloquer les fonds concernés, tandis que les développeurs préparent un correctif réseau et évaluent de potentielles options de rollback. Le projet n'a pas encore publié d'estimation finale des pertes ni de résumé technique complet. Les attaques de frappe non autorisée sont particulièrement dommageables pour les blockchains Layer-1 car elles diluent directement les détenteurs de tokens existants et compromettent l'intégrité de l'offre qui sous-tend la proposition de valeur du réseau — une défaillance plus fondamentale qu'une exploitation de pont ou de portefeuille, qui cible généralement des actifs existants plutôt que de créer une nouvelle offre.

Au dernier relevé, le ONE se négociait autour de 0,000746 $, en baisse d'environ 39,8 % sur 24 heures après être tombé à un plus bas de 0,0005735 $ — un nouveau plus bas historique atteint le 12 août. Le volume d'échanges a bondi au-dessus de 40 millions de dollars, représentant une hausse de plus de 3 600 % par rapport à la veille.

L'attaquant aurait frappé 4 milliards de ONE

Le chercheur onchain Juiceberg a retracé environ 4 milliards de ONE nouvellement créés, soit l'équivalent d'environ 27 % des 14,9 milliards de tokens en circulation avant l'incident. Environ 2,8 milliards de ONE ont ensuite été acheminés vers des plateformes d'échange. Après les transferts les plus importants, environ 115 millions de ONE restaient disponibles onchain dans les portefeuilles sous surveillance.

Le mouvement de tokens vers les plateformes d'échange ne confirme pas que tous ont été vendus, mais il a considérablement augmenté le volume de tokens positionnés là où une liquidation pouvait avoir lieu.

La frappe a également révélé une anomalie comptable inhabituelle de l'offre. Les requêtes standard totalSupply n'ont initialement pas reflété les tokens supplémentaires, permettant à la nouvelle offre créée de rester dissimulée à la surveillance conventionnelle alors même que les transactions étaient déjà en cours. Ce type de dissimulation est rare, car la plupart des exploitations de frappe sont immédiatement visibles via les requêtes d'offre standards, et il soulève des questions sur la possibilité que la vulnérabilité implique un comportement plus profond au niveau de la couche de consensus ou de la gestion d'état plutôt qu'un simple défaut de contrat intelligent. Harmony n'a pas encore confirmé le mécanisme précis à l'origine de ce comportement, et le chiffre d'environ 4 milliards de ONE reste une estimation onchain dans l'attente de l'examen technique complet du projet.

Harmony envisage un correctif et un rollback

Les développeurs travaillent actuellement sur un correctif réseau tout en évaluant si un rollback pourrait jouer un rôle dans l'effort de récupération. Les rollbacks — qui consistent à annuler rétroactivement des transactions en ramenant la chaîne à un état antérieur — figurent parmi les décisions les plus controversées en gouvernance blockchain, car ils mettent en tension le principe d'immutabilité des transactions face à la nécessité de limiter les dégâts. Le hard fork d'Ethereum faisant suite au piratage de la DAO en 2016, qui a donné naissance à Ethereum Classic en tant que chaîne non bifurquée, demeure le précédent le plus éminent montrant comment les décisions de rollback peuvent scinder durablement une communauté.

La coopération des plateformes d'échange est une composante cruciale, étant donné qu'une part importante de l'offre non autorisée suspectée a été déplacée vers des plateformes de trading centralisées peu après sa création. Cette dépendance à la coordination des plateformes d'échange souligne comment même les protocoles décentralisés s'appuient sur des infrastructures centralisées comme ligne de défense lorsque les attaques impliquent des lieux de liquidité hors chaîne.

Harmony avait précédemment rencontré une autre vulnérabilité d'inflation en 2023, lorsqu'une logique de staking défectueuse avait généré 146,28 millions de ONE répartis sur 74 adresses de délégateurs. Les undelegations arrivées à échéance étaient反复 incluses dans les paiements car elles n'avaient pas été correctement effacées de l'état du réseau, nécessitant un hard fork d'urgence au bloc 51 118 080.

L'événement actuel est considérablement plus important, la frappe signalée de 4 milliards de ONE représentant plus de 27 fois le volume produit lors de la défaillance de staking de 2023.

Harmony fait face à une nouvelle crise de sécurité majeure

Harmony a également été victime du vol de 100 millions de dollars sur le Horizon Bridge en juin 2022. Le FBI a par la suite attribué cette attaque au groupe Lazarus de Corée du Nord, qui avait compromis le pont avant de transférer les actifs volés via des infrastructures de blanchiment. La combinaison de l'attaque du Horizon Bridge, du bug d'inflation de staking de 2023 et désormais de la frappe de 4 milliards de tokens place Harmony parmi les réseaux Layer-1 les plus repeatedly exploités, un historique qui complique le rétablissement de la confiance auprès tant des utilisateurs que des partenaires d'échange.

Le nouvel incident s'inscrit dans une vague plus large d'exploitations crypto. En juillet, les piratages crypto ont généré 210,3 millions de dollars de pertes lors de 30 incidents majeurs, portés par l'expansion des drains de portefeuilles Coldcard ainsi que par une série de défaillances de ponts, d'oracles et de gouvernance.

Harmony n'a pas encore confirmé comment les 4 milliards de ONE ont été créés, quel montant a effectivement atteint les plateformes d'échange, quelle part a été bloquée ni si un rollback sera mis en œuvre. Les questions ouvertes clés incluent la possibilité d'expliquer pleinement l'anomalie de comptabilité d'offre, la couverture significative ou non des blocages d'échange sur les tokens acheminés, et la manière dont la communauté répondra à toute proposition de rollback. Le ONE se maintient autour de 0,000746 $ après avoir touché son nouveau plus bas historique de 0,0005735 $ le 12 août.