Harmony est confronté à une crise de sécurité importante à la suite d’une exploitation apparente ayant entraîné la création non autorisée de milliards de tokens ONE, provoquant une forte chute et soulevant des questions urgentes sur la sécurité du réseau et l’intégrité de l’offre de sa cryptomonnaie native.

Des données on-chain citées par le chercheur crypto Juiceberg indiquent qu’environ 4 milliards de tokens ONE ont été mintés sans autorisation — un chiffre représentant environ 26% de l’offre du token précédemment visible sur le marché et créant un choc d’offre exceptionnel pour les détenteurs existants.

L’incident a fait chuter ONE fortement alors que les traders réagissaient à la possibilité que des milliards de nouveaux tokens soient vendus sur le marché. Des rapports ont indiqué qu’environ 2,8 milliards de ONE avaient déjà été déplacés vers des plateformes d’échange de cryptomonnaies, tandis qu’une quantité beaucoup plus faible restait on-chain.

Harmony a reconnu l’incident et a indiqué coopérer avec les exchanges pour arrêter et geler les fonds associés aux portefeuilles concernés. Le projet développe également un correctif technique et évalue un possible rollback de la blockchain. La situation évolue encore, et certaines données circulant sur le marché proviennent de chercheurs on-chain plutôt que d’un post-mortem complet de Harmony.

Le compte Coin Bureau sur X a également mis en avant l’incident, attirant davantage l’attention sur cet événement de sécurité en rapide évolution.

Forte baisse du prix et envolée des volumes d’échange

La réaction immédiate du marché a été sévère. ONE a chuté de plus de 30% à mesure que la nouvelle du mint non autorisé se propageait. À un moment donné, les données de marché montraient une baisse de plus de 38% sur 24 heures, avec des volumes de négociation en hausse de milliers de pourcent alors que les investisseurs cherchaient à réévaluer leur exposition.

Avant l’incident, l’offre publiquement suivie de Harmony s’élevait à environ 15 milliards de ONE. La création alléguée d’environ 4 milliards de tokens supplémentaires représente donc une augmentation substantielle par rapport à l’offre existante.

Un tel pic d’activité est typique d’un marché confronté à un choc d’information majeur. Certains investisseurs ont vendu par crainte de nouvelles pertes, tandis que d’autres ont tenté de trader la volatilité extrême. Les teneurs de marché ont également ajusté la liquidité en raison de l’incertitude entourant l’offre du token. Dans ce type d’incident, la question centrale n’est pas seulement l’évolution du prix, mais aussi la capacité du marché à se fier encore au nombre de tokens qu’il observe.

Des milliards de ONE auraient été envoyés vers des exchanges

L’un des aspects les plus préoccupants de l’incident est la vitesse à laquelle les tokens nouvellement mintés auraient été déplacés.

L’analyse on-chain de Juiceberg indique qu’environ 2,8 milliards de ONE ont été transférés vers des exchanges après l’exploitation, créant une source potentielle importante de pression vendeuse. Les tokens transférés vers des portefeuilles liés à des exchanges peuvent potentiellement être vendus ou utilisés pour d’autres transactions, selon la réponse de l’exchange et selon que les fonds sont gelés.

Harmony a déclaré travailler avec les exchanges concernés pour arrêter et geler les fonds liés aux portefeuilles affectés. Le projet a également publié des adresses de portefeuilles associées à l’incident et demandé aux exchanges de bloquer les fonds traçables jusqu’à elles. Si les exchanges parviennent à identifier et geler la majorité des tokens restants avant leur vente, une partie de la pression vendeuse potentielle pourrait être contenue.

Juiceberg a ensuite rapporté qu’environ 115 millions de ONE restaient on-chain et potentiellement disponibles pour de nouvelles ventes. Si cela est exact, cela signifierait que la plupart des tokens nouvellement mintés auraient déjà été vendus ou se trouveraient dans des portefeuilles d’exchange. Toutefois, un dépôt sur un exchange ne signifie pas automatiquement qu’un token a été vendu — les actifs peuvent rester intacts, être gelés par la plateforme ou être transférés ailleurs.

Harmony confirme l’incident de sécurité

Harmony a confirmé qu’un incident s’est produit et a indiqué que son équipe travaillait à limiter les dégâts. La réponse du projet comprend :

• une coordination avec les exchanges pour geler les fonds concernés
• le développement d’un correctif technique pour empêcher de nouveaux mint non autorisés
• une demande adressée aux validateurs pour qu’ils effectuent une mise à niveau vers le correctif
• une suspension temporaire du service de bridge pendant l’enquête
• l’étude d’un possible rollback de la blockchain

Ces mesures indiquent que Harmony traite l’événement comme une urgence de sécurité au niveau du réseau. La priorité immédiate est d’empêcher que la vulnérabilité soit exploitée à nouveau avant que les développeurs ne puissent traiter pleinement les tokens nouvellement créés. Pour un projet blockchain, cela signifie aussi rétablir la confiance dans les règles du réseau autant que contenir les flux de fonds immédiats.

L’intégrité de l’offre au centre de la crise

Le problème le plus critique soulevé par l’exploitation est l’intégrité de l’offre. La politique monétaire d’une cryptomonnaie repose sur l’hypothèse que des tokens ne peuvent pas être créés en dehors des règles établies par le protocole. Le mint rapporté de 4 milliards de ONE est particulièrement significatif en raison de son ampleur — une hausse soudaine d’environ 26% est très différente des émissions normales de tokens liées aux récompenses de staking ou aux incitations réseau programmées.

Juiceberg a également affirmé que l’endpoint totalSupply de Harmony n’avait pas immédiatement reflété les tokens supplémentaires. Si cela est confirmé, il pourrait être difficile pour les participants du marché de déterminer avec précision l’offre en circulation réelle pendant l’incident, ce qui risquerait d’induire des calculs de capitalisation boursière trompeurs. En pratique, ce type de décalage explique pourquoi les exploits liés à l’offre peuvent devenir particulièrement perturbateurs : traders, exchanges et fournisseurs de données peuvent tous essayer d’interpréter le même actif avec des informations incomplètes.

La question du rollback

Un rollback est l’une des options les plus lourdes de conséquences pour une équipe blockchain. En termes simples, un rollback tente de ramener le réseau à un état antérieur, avant l’enregistrement des transactions ou blocs problématiques. Toutefois, une telle décision est extrêmement complexe car elle peut affecter des transactions légitimes effectuées pendant la même période — les utilisateurs ayant acheté, vendu ou transféré ONE normalement pourraient potentiellement voir ces transactions annulées.

Harmony a présenté le rollback comme une option à l’étude plutôt qu’une décision confirmée. Le projet doit trouver un équilibre entre la volonté d’éliminer l’activité non autorisée et la nécessité de préserver la confiance dans l’historique des transactions de la blockchain.

Le sort des 4 milliards de ONE prétendument non autorisés demeure l’une des plus grandes questions sans réponse. Harmony pourrait tenter d’invalider les tokens concernés via un rollback ou une intervention au niveau du protocole. À l’inverse, les tokens déjà vendus pourraient être impossibles à récupérer intégralement, laissant au marché le soin d’absorber les conséquences économiques. Un rollback réussi pourrait supprimer une grande partie de l’offre non autorisée mais soulever des questions sur la finalité des transactions, tandis que laisser les tokens en place préserverait l’historique de la blockchain mais créerait une dilution permanente.

Contexte historique : le hack du Horizon Bridge en 2022

Le dernier incident intervient alors que l’historique de problèmes de sécurité de Harmony reste pertinent pour sa réputation. En juin 2022, des attaquants ont volé environ 100 millions de dollars au Horizon Bridge de Harmony — l’un des hacks les plus importants de l’histoire de l’infrastructure cross-chain.

Harmony a ensuite élaboré des propositions de remboursement pour les utilisateurs affectés, y compris des plans impliquant le mint de tokens ONE supplémentaires sur une période prolongée. Une proposition évoquait le mint d’environ 4,97 milliards de ONE dans un scénario de remboursement à 100%. Cependant, les deux incidents sont techniquement différents : l’attaque du Horizon concernait le bridge cross-chain, tandis que l’incident actuel porte sur un mint prétendument non autorisé de ONE sur le réseau de Harmony lui-même.

Harmony passe depuis des années à tenter de restaurer la confiance après l’attaque du bridge Horizon. Un autre incident majeur lié à l’offre crée un défi supplémentaire pour le réseau et sa communauté.

Le rôle des exchanges centralisés

Les exchanges centralisés pourraient jouer un rôle majeur dans la limitation de l’incident. Une fois que les tokens liés à une exploitation atteignent un exchange, la plateforme peut potentiellement geler les fonds, signaler les adresses et empêcher les retraits ou les ventes. Cela ne garantit toutefois pas la récupération. Les exchanges doivent d’abord identifier les actifs concernés et déterminer s’ils peuvent être reliés à l’exploitation. Les transactions blockchain sont publiques, mais le suivi des fonds à travers plusieurs portefeuilles et plateformes peut devenir compliqué, car les attaquants peuvent répartir les fonds sur plusieurs adresses, les déplacer entre chaînes ou tenter de les convertir en d’autres actifs.

La décision de Harmony de publier les adresses de portefeuilles affectés reflète l’importance de cette coordination. Plus les exchanges reçoivent rapidement des informations fiables sur les portefeuilles, plus la probabilité d’empêcher de nouvelles ventes est grande.

Les validateurs invités à effectuer une mise à niveau d’urgence

Harmony aurait demandé aux validateurs d’installer un correctif conçu pour empêcher de nouveaux mint non autorisés. Les validateurs jouent un rôle essentiel dans la maintenance du réseau et la confirmation de son état, ce qui fait d’une mise à jour logicielle coordonnée un élément clé pour contenir un exploit au niveau du protocole. Le défi consiste à s’assurer que les validateurs effectuent correctement la mise à niveau et que la correction n’introduise pas de nouveaux problèmes. En situation de crise, les développeurs doivent agir rapidement sans sacrifier les tests et vérifications normalement requis pour une modification majeure du réseau.

Incertitude persistante

Pour les détenteurs de ONE, plusieurs variables importantes restent non résolues : le mécanisme exact de l’exploitation n’a pas encore été pleinement expliqué ; le montant final des tokens non autorisés pourrait encore faire l’objet d’une enquête ; le montant déjà vendu reste incertain ; les gels de fonds par les exchanges peuvent empêcher certains mouvements ; et Harmony n’a pas confirmé si un rollback aura finalement lieu.

Les informations les plus fiables viendront de Harmony, des exchanges concernés et des enquêteurs indépendants en sécurité blockchain. Les chercheurs on-chain peuvent fournir des informations utiles, mais les chiffres préliminaires peuvent évoluer au fur et à mesure que les enquêteurs retracent des transactions supplémentaires.

Ce qui vient ensuite

Plusieurs développements devraient dominer la prochaine phase de l’affaire :

• les enquêteurs chercheront à identifier la vulnérabilité précise qui a permis le mint non autorisé
• les exchanges détermineront quelle part de l’offre affectée peut être gelée
• Harmony devra clarifier le montant réel de ONE créé
• les validateurs devront achever la mise à niveau d’urgence
• la communauté devra évaluer si un rollback est approprié

Le marché surveillera également l’apparition éventuelle de nouveaux tokens non autorisés après le déploiement du correctif. Si la vulnérabilité est effectivement fermée, l’attention se déplacera vers la reprise. Si de nouveaux mint se poursuivent, la crise pourrait devenir nettement plus grave.

L’exploitation rapportée de 4 milliards de ONE représente l’un des défis les plus sérieux auxquels Harmony a été confronté depuis l’attaque du bridge Horizon. L’impact final dépendra de la quantité de l’offre non autorisée qui pourra être contenue, de la capacité du réseau à éliminer la vulnérabilité et de la décision prise par Harmony concernant l’historique de la blockchain. L’incident devrait également relancer les discussions sur la sécurité blockchain, le contrôle de l’offre de tokens et les risques associés aux infrastructures décentralisées très complexes.

Source : Hoka News