Blockchain warstwy 1 Harmony potwierdził, że atakujący wykorzystał jego sieć do wybicia około 4 miliardów tokenów ONE bez autoryzacji, czyli mniej więcej 26% całkowitej podaży. Nieautoryzowane bicie doprowadziło do spadku ceny tokena o 37% do około 0,00077 USD, wynika z danych CoinGecko. Ataki polegające na nieautoryzowanym biciu są szczególnie szkodliwe, ponieważ rozwadniają udziały dotychczasowych posiadaczy na korzyść atakującego, zwiększając podaż bez odpowiadającego jej popytu.

Analityk on-chain Juiceberg jako pierwszy zgłosił exploit w środę rano, szacując bicie na blisko 4 miliardy tokenów utworzonych przez puste bloki — bloki zatwierdzone bez rzeczywistych transakcji użytkowników. Około 2,8 miliarda tych tokenów skierowano na giełdy w miarę spadku ceny.

W kolejnym wpisie Juiceberg poinformował, że atakującemu pozostało około 115 milionów ONE do sprzedaży on-chain, czyli około 2,9% całkowitej wybitej puli. "The overwhelming majority (~97%) is already on exchanges," napisał Juiceberg, dodając, że tokeny te zostały już sprzedane albo znajdowały się w portfelach depozytowych.

Harmony odpowiedział w mediach społecznościowych, że "working with our team and appropriate exchanges to stop and freeze the funds". Projekt dodał, że przygotowuje poprawkę oraz rozważa opcje rollbacku. W drugim wpisie Harmony wskazał cztery portfele — każdy podany zarówno w formacie Harmony, jak i hex — i poprosił giełdy o blokowanie wszystkiego, co można do nich przypisać.

We are working with our team and appropriate exchanges to stop and freeze the funds. We are working on a patch and rollback options. Will update when we have new information. — Harmony 💙 (@harmonyprotocol) August 12, 2026

Nieco ponad dwie godziny po pierwszym oświadczeniu Harmony wstrzymał swój bridge, a minutę później opublikował poprawkę, instruując walidatorów, by zaktualizowali się do wersji, która według projektu uniemożliwia dalsze bicie. Usunięcie już utworzonych tokenów wymagałoby kolejnej aktualizacji, podał zespół. W tym momencie od pierwszego wpisu Juiceberga minęło pięć godzin.

Projekt nie ujawnił charakteru luki, nie potwierdził dokładnej liczby utworzonych tokenów ani nie podał, ile z nich trafiło na giełdy. Juiceberg zauważył też anomalię: endpoint totalSupply Harmony nie odzwierciedlał nowych tokenów, a trackery cen nadal wskazywały podaż w obiegu na około 14,87 miliarda.

Rozważania dotyczące rollbacku

Rollback przywróciłby sieć do stanu sprzed exploita, usuwając późniejsze transakcje z zaakceptowanej historii. Takie rozwiązanie wiąże się z kompromisami, ponieważ objęłoby również transakcje dokonane przez zwykłych użytkowników po ataku. Rollbacki pozostają sporne w branży krypto: zwolennicy twierdzą, że chronią użytkowników przed katastrofalnymi exploitami, podczas gdy krytycy uważają, że podważają niezmienność, którą mają gwarantować blockchainy.

Harmony miał już wcześniej do czynienia z poważnym atakiem. W czerwcu 2022 roku hakerzy wyprowadzili około 100 milionów USD z jego cross-chain bridge Horizon w ataku, który FBI później przypisało północnokoreańskiej grupie Lazarus Group. Początkowa propozycja odzyskiwania po tamtym ataku zakładała wypłatę odszkodowań w tokenach ONE, co wymagałoby wybicia miliardów nowych tokenów i przeprowadzenia hard forka łańcucha. Plan spotkał się z na tyle silną krytyką, że zespół zastąpił go rozwiązaniem finansowanym z własnego skarbca.

Po czterech latach atakujący wybił porównywalną ilość bez pytania. ONE ma obecnie kapitalizację rynkową około 11,5 miliona USD, co plasuje go poza pierwszą 1000 tokenów. Ostatnio handlowano nim blisko rekordowego poziomu z października 2021 roku, wynoszącego 0,38 USD, ponad cztery lata temu, a od tego poziomu kurs spadł o ponad 99%.