Il token ONE di Harmony è crollato di quasi il 40% mercoledì dopo che un attaccante avrebbe presumibilmente coniato circa 4 miliardi di token senza autorizzazione e trasferito miliardi di ONE verso exchange centralizzati.

Harmony sta coordinandosi con gli exchange per bloccare e congelare i fondi interessati mentre gli sviluppatori preparano una patch di rete e valutano potenziali opzioni di rollback. Il progetto non ha ancora rilasciato una stima finale delle perdite né un post-mortem tecnico completo. Gli attacchi di conio non autorizzato sono particolarmente dannosi per le blockchain Layer-1 perché diluiscono direttamente i titolari di token esistenti e compromettono l'integrità dell'offerta che fondamenta la proposta di valore della rete — un fallimento più fondamentale rispetto a un exploit di bridge o di wallet, che in genere colpisce asset esistenti anziché creare nuova offerta.

All'ultimo riscontro, ONE scambiava intorno a $0,000746, in calo di circa il 39,8% in 24 ore dopo essere sceso a un minimo di $0,0005735 — un nuovo minimo storico raggiunto il 12 agosto. Il volume di negoziazione è schizzato sopra i 40 milioni di dollari, con un aumento di oltre il 3.600% rispetto al giorno precedente.

L'attaccante conia presuntamente 4 miliardi di ONE

Il ricercatore onchain Juiceberg ha tracciato circa 4 miliardi di ONE di nuova creazione, equivalenti a circa il 27% degli approximativamente 14,9 miliardi di token in circolazione prima dell'incidente. Circa 2,8 miliardi di ONE sono stati successivamente instradati verso exchange. Dopo i trasferimenti più consistenti, rimanevano disponibili onchain approximativamente 115 milioni di ONE nei wallet sotto sorveglianza.

Il movimento dei token verso gli exchange non conferma che siano stati tutti venduti, ma ha aumentato significativamente il volume di token posizionati dove avrebbe potuto avvenire la liquidazione.

Il conio ha inoltre rivelato un'anomalia contabile dell'offerta insolita. Le interrogazioni standard totalSupply inizialmente non riflettevano i token aggiuntivi, consentendo alla nuova offerta creata di rimanere nascosta ai monitoraggi convenzionali anche mentre le transazioni erano già in corso. Questo tipo di occultamento è insolito, poiché la maggior parte degli exploit di conio è immediatamente visibile tramite interrogazioni standard dell'offerta, e solleva interrogativi su whether la vulnerabilità coinvolgesse comportamenti più profondi a livello di consensus o di gestione dello stato anziché un semplice difetto di smart contract. Harmony non ha ancora confermato il meccanismo preciso responsabile di questo comportamento, e la cifra di circa 4 miliardi di ONE rimane una stima onchain in attesa della revisione tecnica completa del progetto.

Harmony valuta patch e rollback

Gli sviluppatori stanno ora lavorando a una patch di rete valutando se un rollback possa avere un ruolo nello sforzo di recupero. I rollback — l'annullamento retroattivo delle transazioni ripristinando la chain a uno stato precedente — sono tra le decisioni più controverse nella governance delle blockchain, poiché mettono in tensione il principio di immutabilità delle transazioni rispetto alla necessità di contenere i danni. L'hard fork di Ethereum a seguito dell'hack della DAO del 2016, che ha dato vita a Ethereum Classic come chain non biforcata, rimane il precedente più rilevante di come le decisioni di rollback possano dividere permanentemente una comunità.

La cooperazione degli exchange è una componente fondamentale, dato che una porzione sostanziale della presunta offerta non autorizzata è stata trasferita verso piattaforme di trading centralizzate poco dopo la creazione. La dipendenza dal coordinamento con gli exchange sottolinea come anche i protocolli decentralizzati si appoggino a infrastrutture centralizzate come linea di difesa quando gli attacchi coinvolgono venue di liquidità off-chain.

Harmony aveva in precedenza riscontrato una vulnerabilità di inflazione separata nel 2023, quando una logica di staking difettosa aveva generato 146,28 milioni di ONE attraverso 74 indirizzi di delegator. Le undelegation mature venivano ripetutamente incluse nei payout perché non erano correttamente cancellate dallo stato della rete, rendendo necessario un hard fork di emergenza al blocco 51.118.080.

L'evento attuale è significativamente più grande, con il presunto conio di 4 miliardi di ONE pari a oltre 27 volte il volume prodotto durante il fallimento di staking del 2023.

Harmony affronta un'altra grave crisi di sicurezza

Harmony è stata anche vittima del furto da 100 milioni di dollari al Horizon Bridge nel giugno 2022. L'FBI ha successivamente attribuito quell'attacco al Lazarus Group della Corea del Nord, che aveva compromesso il bridge prima di trasferire gli asset rubati attraverso infrastrutture di riciclaggio. La combinazione dell'attacco al Horizon Bridge, del bug di inflazione dello staking del 2023 e ora del conio di 4 miliardi di token colloca Harmony tra le reti Layer-1 più ripetutamente sfruttate, un track record che complica il recupero di fiducia sia con gli utenti che con i partner degli exchange.

Il nuovo incidente segue un'onda più ampia di exploit crittografici. A luglio, gli hack critto hanno generato 210,3 milioni di dollari di perdite in 30 incidenti principali, guidati dall'espansione dei drain dei wallet Coldcard insieme a una serie di fallimenti di bridge, oracle e governance.

Harmony non ha ancora confermato come siano stati creati i 4 miliardi di ONE, quanta parte abbia raggiunto con successo gli exchange, quanto sia stato congelato o se verrà eseguito un rollback. Le principali questioni aperte includono se l'anomalia contabile dell'offerta possa essere pienamente spiegata, se i congelamenti da parte degli exchange copriranno una porzione significativa dei token instradati e come la comunità risponderà a qualsiasi proposta di rollback. ONE rimane intorno a $0,000746 dopo aver toccato il suo nuovo minimo storico di $0,0005735 il 12 agosto.