Harmony, blockchain warstwy 1 obsługujący transakcje w równoległych shardach, przeszło od analizy kilku opcji odzyskiwania do wdrożenia konkretnego rollbacku łańcucha po tym, jak atakujący wykorzystał sieć do sfałszowania bilionów tokenów ONE. Plan odzyskiwania usunie fałszywy stan, ale jednocześnie wyeliminuje prawidłową aktywność zapisaną po wybranych punktach kontrolnych, czyniąc tę interwencję jedną z najbardziej destrukcyjnych odpowiedzi dostępnych dla działającego blockchaina. Cofnięcia na taką skalę są rzadkie w działających publicznych sieciach, ponieważ naruszają ostateczność transakcji, którą blockchainy mają gwarantować; najbardziej znanym precedensem pozostaje reakcja Ethereum z 2016 roku na atak na DAO, gdy kontrowersyjny hard fork odwrócił skradzione środki, a oryginalny łańcuch kontynuował jako Ethereum Classic.

W komunikacie z incydentu z 17 sierpnia Harmony podało, że walidatorzy przełączą się na zastępcze bazy danych odpowiadające blokowi 92,730,034 na shardzie 0 i blokowi 94,978,278 na shardzie 1. Oba punkty kontrolne odpowiadają 11 sierpnia o 23:25:37 UTC. Rollback usunie sfałszowany stan tokenów ONE, a także odrzuci prawidłowe transakcje i inną aktywność blockchainową zapisaną po tych punktach kontrolnych.

Pierwszy potwierdzony fałszywy mint pojawił się na shardzie 0 w bloku 92,730,036. Harmony wybrało poprzedni blok jako bufor bezpieczeństwa, ponieważ blok pośredni nie zawierał standardowych transakcji, aktywności stakingowej, przychodzących potwierdzeń ani zużycia gazu i zachował ten sam stan. Chociaż fałszywy mint nie wystąpił na shardzie 1, Harmony umieściło tam odpowiadający punkt kontrolny jako środek ostrożności. Gdy walidatorzy przejdą na zastępcze bazy danych, nowe bloki będą wznawiane od wysokości 92,730,035 na shardzie 0 i 94,978,279 na shardzie 1.

— Harmony (@harmonyprotocol) August 17, 2026

Odrzucono opcje selektywnego odzyskiwania

Przed podjęciem decyzji o wymianie bazy danych Harmony podało, że rozważało kilka alternatyw, w tym ukierunkowane spalanie tokenów, czarną listę portfeli, migrację dotkniętych tokenów, selektywne odtwarzanie transakcji oraz prostsze cofnięcie bazy danych.

Ostatecznie odrzucono te podejścia, ponieważ sfałszowane ONE przemieściły się przez szeroką gamę infrastruktury kryptowalutowej. Tokeny przeszły przez scentralizowane giełdy, pule zdecentralizowanych giełd, smart kontrakty, mosty, pozycje stakingowe i współdzielone portfele. W rezultacie selektywne usuwanie podejrzanych sald mogłoby dotknąć prawidłowych użytkowników, których aktywa zostały zmieszane ze sfałszowanymi tokenami. Harmony uznało również, że częściowa interwencja mogłaby pozostawić blockchain z niespójnym stanem w różnych aplikacjach i usługach.

Rozległy ruch tokenów komplikuje odzyskiwanie

Śledztwo wykazało szybki ruch z co najmniej jednego portfela powiązanego ze sfałszowanym mintem. Harmony podało, że portfel próbował 534 transferów, z których każdy dotyczył 5 miliardów ONE, w ciągu 106 sekund. Spośród tych transakcji 477 zakończyło się powodzeniem, przenosząc około 2.385 biliona ONE — ilość znacznie przekraczającą istniejącą podaż tokenów w sieci. Późniejsza analiza przepływów spółki uwzględniła niemal całą sfałszowaną kwotę, gdy przemieszczała się ona przez różne usługi i generowała opłaty transakcyjne.

Harmony podkreśla, że prześledzenie tokenów do portfela, giełdy, puli płynności lub innej usługi nie ustala, kto kontrolował aktywa. Nie oznacza to też automatycznie, że środki nadają się do zniszczenia, ponieważ współdzielone portfele i zbalansowane pule mogą zawierać aktywa należące do niepowiązanych użytkowników. Dochodzenie trwa, a Harmony współpracuje z giełdami, mostami, organami ścigania oraz niezależną firmą bezpieczeństwa.

Prawidłowe transakcje zostaną utracone

Rollback wiąże się również ze znacznym kosztem dla użytkowników. Dotknięte archiwum shardu 0 zawiera 141,628 kolejnych bloków. Bloki te obejmują 109,126 zwykłych transakcji i 315 transakcji stakingowych. Harmony sklasyfikowało 95.8% zwykłych transakcji jako zautomatyzowane, ale pozostała aktywność obejmuje prawidłowe transakcje, których nie można bezpiecznie odtworzyć bez ryzyka dalszych niespójności.

Zastępczy łańcuch zmieni salda, szczegóły transakcji, rezerwy pul płynności, zatwierdzenia tokenów, terminy swapów i pozycje stakingowe, powodując potencjalne komplikacje dla użytkowników i aplikacji, które korzystały z sieci po punkcie kontrolnym. Odtwarzanie transakcji z odrzuconego łańcucha może również przynieść inne wyniki. Zmiany sald kont, stanu kontraktów lub kolejności transakcji mogą spowodować, że transakcja wcześniej zakończona powodzeniem zakończy się niepowodzeniem albo że transakcja, która wcześniej się nie powiodła, tym razem się powiedzie.

Giełdy i mosty stoją przed wyzwaniami operacyjnymi

Incydent pokazuje trudności związane z przywracaniem działającego blockchaina po tym, jak fałszywy stan rozprzestrzenił się po połączonej infrastrukturze. Ponieważ rollback Harmony tworzy nieciągłość między odrzuconym łańcuchem a zastępczymi bazami danych, giełdy, mosty i inne usługi będą musiały uwzględnić tę zmianę przy przetwarzaniu wpłat, wypłat i innych transakcji.

Plan odzyskiwania ma na celu usunięcie fałszywego stanu, ale jego skuteczna realizacja będzie zależeć od skoordynowanych działań walidatorów i operatorów ekosystemu. Incydent podkreśla również szersze ryzyka operacyjne związane z systemami cross-chain i zdecentralizowaną infrastrukturą finansową, w której aktywa mogą szybko przemieszczać się między wieloma platformami, zanim atak zostanie wykryty. Harmony miało już do czynienia z atakami o dużej wartości: w czerwcu 2022 roku napastnik ukradł około $100 million z mostu cross-chain Horizon sieci.

Decyzja Harmony oznacza zatem kompromis między usunięciem wielkoskalowego fałszywego minta a zachowaniem prawidłowej aktywności. Rollback ma przywrócić godny zaufania stan, ale wynikająca z niego utrata ważnych transakcji pokazuje potencjalnie dalekosiężne konsekwencje odzyskiwania blockchaina po tym, jak exploit rozprzestrzenił się już po jego ekosystemie.