Harmonyn ONE-tokenin arvo romahti, kun hyökkääjä loi 4 miljardia tokenia tyhjien lohkojen avulla

Harmony, layer-1-lohkoketju, joka aikoinaan markkinoi itseään Ethereumin skaalausratkaisuna, vahvisti 12. elokuuta joutuneensa hyökkäyksen kohteeksi, kun hyökkääjä loi ilman lupaa noin 4 miljardia ONE-tokenia — määrä, joka vastasi tuolloin noin 26% verkon koko liikkeessä olevasta tarjonnasta.

Ensimmäinen merkki ongelmista tuli ketjuanalyytikko Juicebergiltä, joka julkaisi X:ssä viestin, jonka mukaan Harmonyn lohkoketjua oli hyödynnetty tyhjien lohkojen avulla ja että verkon totalSupply-päätetietopiste ei näyttänyt uusia tokeneita reaaliajassa:

Harmony joutui hyökkäyksen kohteeksi, kun ketjutiedot paljastivat luvattoman 4 miljardin ONE-tokenin luomisen (26% tarjonnasta) tyhjien lohkojen avulla; 2,8 miljardia ohjattiin nopeasti pörsseihin hinnan romahdettua, samalla kun totalSupply-päätetunniste piilottaa $ONE:n inflaation

Tyhjät lohkot ovat tavallisia, kelvollisia merkintöjä lohkoketjussa, jotka eivät sisällä käyttäjien transaktioita. Juicebergin havaintojen mukaan hyökkääjä käytti tätä mekanismia laittoman tokenien luomisen käynnistämiseen samalla, kun ketjun julkinen tarjontalaskuri pysyi jumissa, mikä antoi aikaa ennen kuin kukaan ketjun loppupäässä – pörssit, seurantapalvelut, muut validoijat – huomasi, että jotain oli vialla. Kun tokenien luominen paljastui, noin 2,8 miljardia vastaluotuista tokeneista – noin 97% kokonaismäärästä – oli jo päätynyt pörssien lompakkoihin, joissa ne oli joko myyty tai ne odottivat siirtoa talletustileillä. Juiceberg arvioi ketjussa jäljellä olevan määrän olevan noin 115 miljoonaa ONE:ta, eli alle 3% saaliista.

Harmony vahvisti hyökkäyksen muutama tunti myöhemmin virallisella tilillään ja pyysi pörssejä suoraan jäädyttämään varat, jotka liittyvät neljään hyökkäykseen liittyvään lompakko-osoitteeseen:

Pyydämme kaikkia pörssejä estämään ja jäädyttämään varat, jotka voidaan jäljittää näihin neljään lompakko-osoitteeseen: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

Tiimi ilmoitti työskentelevänsä ohjelmistopäivityksen parissa ja punnitsevansa palautusvaihtoehtoja, vaikka se ei kuitenkaan vahvistanut tarkkaa haavoittuvuutta tai lyönnin lopullista kokoa. Palautus nollaisi ketjun tilanteeseen ennen haavoittuvuuden hyödyntämistä ja jatkaisi siitä eteenpäin – mikä kuulostaa teoriassa siistiltä, mutta se poistaisi myös kaikki käyttäjien sillä välin tekemät lailliset transaktiot. Se ei ole päätös, jonka Harmony voi tehdä kevyesti.

Hintareaktio oli välitön ja raju. ONE:n arvo romahti 26–37%, riippuen siitä, mitä seurantapalvelua ja aikaväliä tarkastellaan, ja sen kurssi oli noin 0,0008 dollaria. Tuolla hinnalla koko 4 miljardin tokenin liikkeeseenlasku vastaa paperilla noin 3,2 miljoonaa dollaria. Pieni summa verrattuna siihen, miltä 100 miljoonan dollarin bridge-hakkerointi näyttää taulukkolaskennassa, mutta summa ei koskaan ollutkaan se tärkein asia. Tärkeintä on, että kukaan ei huomannut sitä, kun se tapahtui.

Tämä ei ole Harmonyn ensimmäinen tarjontaan liittyvä pelko. Joulukuussa 2023 staking-virhe lyöi virheellisesti 146,28 miljoonaa ONE-tokenia kymmenille delegoijien osoitteille, kun verkoston tilakoneisto ei käsitellyt validoijien palkkion muutosta oikein. Harmony toteutti hätähard forkin, vaikka noin 16,4 miljoonaa tokenia oli siihen mennessä jo päätynyt pörssiin. Vielä aiemmin, kesäkuussa 2022, hyökkääjät murtautuivat Harmony Horizon -ketjujen välisen sillan monen allekirjoituksen lompakkoon ja veivät lähes 100 miljoonaa dollaria. Kolme tarjontaan tai siltaan liittyvää tapausta neljän vuoden aikana ei ole sattuma, jonka sijoittajat sivuuttaisivat helposti.

Harmony ei ole ainoa ketju, joka on joutunut tällä viikolla kamppailemaan tämänkaltaisten ongelmien kanssa. Ravencoin on taistellut omaa rollback-ongelmaansa vastaan 7. elokuuta lähtien, kun KAWPOW-lohkon validointivirhe päästi virheellisiä lohkoja tilikirjaan ja pakotti louhintapoolit rakentamaan ketjun uudelleen ensimmäisestä virheellisestä lohkosta lähtien. Kesäkuussa Humanity Protocol menetti noin 36 miljoonaa dollaria, kun vaarantuneita järjestelmänvalvojan avaimia käytettiin 300 miljoonan luvattoman H-tokenin luomiseen kahdessa verkostossa, minkä seurauksena kyseisen tokenin arvo romahti lähes 90%. Luvaton tokenien luominen nousee yhä uudelleen esiin vikatapauksena ketjuissa, joilla on muuten hyvin vähän yhteistä.

Toistaiseksi ONE-haltijat seuraavat kahta asiaa: pystyykö Harmony saamaan pörssit jäädyttämään talletuslompakoissa vielä olevat tokenit ennen niiden myyntiä, ja onko rollback edes mahdollinen ilman, että se vieraannuttaa käyttäjiä, joiden transaktiot pyyhkäistään pois. Kumpikaan vastaus ei näytä yksinkertaiselta.