USD
Harmony confirma acuñación no autorizada de ONE y un parche de emergencia frena nuevas emisiones
Las congelaciones en exchanges y un posible rollback de la blockchain siguen siendo parte de la respuesta de Harmony
TL;DR
- Harmony confirmó la acuñación no autorizada de ONE y desplegó un parche de emergencia para validadores diseñado para detener emisiones adicionales.
- El investigador on-chain Juiceberg estimó que miles de millones de ONE recién creados llegaron rápidamente a los exchanges, aunque Harmony no confirmó de forma independiente sus cifras.
- Harmony pausó las operaciones del bridge, pidió a los exchanges congelar fondos vinculados a cuatro pares de wallets y siguió evaluando opciones de rollback.
Opera de forma más inteligente en Jupiter, el DEX líder de Solana, creado para una ejecución rápida y una gran liquidez.
Intercambia tokens a tasas competitivas, enruta automáticamente entre múltiples fuentes de liquidez y accede a perpetuals, DCA y herramientas avanzadas de trading, ¡todo en un solo lugar!
Harmony confirmó la acuñación no autorizada de su token nativo ONE después de que el investigador on-chain Juiceberg dijera el 12 de ago. de 2026: “Harmony explotado mientras los datos on-chain revelan una acuñación no autorizada de 4B ONE (26% de la oferta) vía bloques vacíos, con 2.8B canalizados rápidamente a exchanges mientras el precio se desplomaba y el endpoint totalSupply oculta la inflación $ONE.”
Harmony reconoció que ocurrió una acuñación no autorizada, pero no confirmó de forma independiente la estimación de Juiceberg, dejando sin resolver el monto final del exceso de oferta y su tratamiento.
Harmony respondió indicando a los validadores que instalaran la versión de emergencia v2026.1.1, que, según el proyecto, impide nuevas acuñaciones no autorizadas. El aviso para validadores confirmó que se había producido la acuñación sin indicar una cantidad. Harmony separó el esfuerzo inmediato de contención del tratamiento de los tokens ya creados, diciendo: “Daremos seguimiento con otra actualización para abordar los tokens ya acuñados.”
La estimación de Juiceberg se midió frente a los aproximadamente 15.000 millones de ONE ya en circulación antes del incidente. El mecanismo ordinario de recompensas por bloque de Harmony entrega 7 ONE por cada bloque de shard confirmado, por lo que la magnitud de la supuesta emisión apuntaba a un problema fuera de la generación normal de recompensas. La descripción de que los tokens aparecieron mediante “bloques vacíos” no establecía por sí sola cómo ocurrió la acuñación, y Harmony inicialmente no había identificado el componente afectado.
El parche apunta a la verificación de recibos entre shards y fallos de replay
Los cambios de código publicados por Harmony abordaron dos debilidades relacionadas con los recibos entre shards, que trasladan resultados de transacciones entre distintas partes de la red.
La primera debilidad involucraba la verificación de quórum. Un registro de firmante vacío, junto con una firma agregada matemáticamente neutra, podía pasar una comprobación de quórum porque el verificador contaba al comité completo en lugar de a los validadores realmente representados en el registro de firmantes. Eso podría permitir que un recibo fuera aceptado sin las aprobaciones normalmente requeridas de los validadores participantes.
La segunda debilidad involucraba la protección contra replay. Ciertos campos de prueba no estaban vinculados al encabezado del bloque firmado, lo que permitía modificar esos campos para que un recibo ya procesado pareciera nuevo. El destino podría entonces recibir otro abono sin un nuevo débito correspondiente desde el origen. La versión de emergencia firmada por Harmony cambió el cálculo del quórum y vinculó el marcador de gasto a datos del encabezado autenticados, cerrando ambas vías identificadas en el parche.
Harmony también pausó bridge.harmony.one durante la respuesta. Coberturas separadas se refirieron al servicio afectado como el bridge LayerZero-Harmony, pero el aviso de Harmony no identificó al bridge en sí como el componente explotado. En cambio, los cambios de software de emergencia se centraron en la verificación de recibos y el comportamiento de replay a nivel de protocolo.
Hemos lanzado el nuevo COIN360 Perp DEX, creado para traders que se mueven rápido.
Opera 130+ activos con hasta 100× de apalancamiento, disfruta de colocación instantánea de órdenes y swaps con bajo deslizamiento, y gana rendimiento pasivo en USDC mientras escalas el leaderboard. Tus operaciones merecen más que velocidad: merecen dominio.
Las congelaciones en exchanges apuntan a fondos vinculados a cuatro pares de wallets
Harmony intensificó su respuesta con exchanges al pedir a los venues de trading que identifiquen y congelen fondos conectados a cuatro pares de wallets implicados. Harmony publicó: “Estamos pidiendo a todos los exchanges que bloqueen y congelen fondos que se rastrean hasta estas 4 direcciones de wallet:”, antes de listar direcciones en formato Harmony y en formato Ethereum asociadas con el incidente.
Dos pares completos de wallets reproducidos en los informes disponibles fueron one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn emparejada con 0xe7427699427821230177dd13f460d6ce43014510, y one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 emparejada con 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5. Dos rastros abreviados adicionales fueron one1a5hur07z…73bb08eb y one1h56hkx…58ff1a70ba.
Juiceberg escribió después: “Al atacante le quedan aproximadamente 115M ONE por vender onchain — cerca del 2.9% de los ~4B que acuñó”, añadiendo: “(~97%) ya está en exchanges y se ha vendido o está en wallets de depósito listo para vender.” Harmony no había verificado esas cifras.
Enviar tokens a un exchange no establecía que se hubieran vendido. Los fondos podrían permanecer en wallets de depósito, intercambiarse internamente o retirarse antes de que se implementara una solicitud de congelación. Harmony tampoco había divulgado qué exchanges recibieron los fondos sospechosos, cuánto recibió cada venue o cuánto se había congelado finalmente.
La estrategia de congelación en exchanges de Harmony y su consideración de un rollback de blockchain abordaron partes diferentes del incidente. Los exchanges pueden restringir activos bajo su control, mientras que un rollback cambia el historial de transacciones de la blockchain. Harmony dijo que las opciones de rollback estaban bajo consideración, pero no anunció que fuera a ocurrir uno ni identificó un punto de recuperación.
Eliminar el saldo restante del atacante on-chain sería comparativamente acotado, mientras que un rollback más amplio exigiría que Harmony determine cuántos bloques revertir y cómo manejar las transacciones legítimas dentro de ese rango. Un rollback podría eliminar tokens no autorizados aún presentes en Harmony, pero no recuperaría automáticamente activos ya depositados o vendidos a través de exchanges centralizados.
Según COIN360, el precio de ONE cayó con fuerza durante el incidente, pasando de alrededor de $0.00117 a aproximadamente $0.00057 y marcando un nuevo mínimo histórico.
Harmony rastrea fondos mientras el rollback gana apoyo
Harmony dijo que rastreó 10,288 transferencias a través de las 409 wallets que recibieron ONE acuñado fraudulentamente y alertó a socios de exchanges sobre cientos de transacciones de depósito sospechosas. Según el proyecto, los exchanges “bloquearon rápidamente las wallets del hacker”.
Harmony también dijo que el 53% de sus validadores había completado la actualización del parche de emergencia dentro de las cuatro horas posteriores a su lanzamiento. El proyecto añadió que aún estaba desarrollando un plan de remediación más amplio, afirmando que “un rollback parece ser la solución práctica más favorecida hasta ahora”, con más detalles previstos más adelante.
Harmony ya enfrentó incidentes de creación de tokens y seguridad de bridges
Harmony reveló otro problema de creación de tokens no intencional en diciembre de 2023, cuando una vulnerabilidad en la lógica de staking generó 146.28 millones de ONE en 74 direcciones de delegadores. Las undelegations maduradas no se estaban eliminando del estado de la red, lo que permitía que los mismos tokens subyacentes se distribuyeran varias veces. Harmony respondió a ese incidente con un hard fork de emergencia.
La acuñación recién reportada fue descrita como unas 27 veces mayor que el evento anterior relacionado con staking. Los mecanismos fueron diferentes, pero ambos implicaron fallos capaces de crear nuevos ONE en lugar de simplemente transferir tokens que ya existían.
Harmony también sufrió el exploit del Horizon bridge en junio de 2022, cuando se robaron aproximadamente $100 millones en activos existentes tras comprometerse el control multifirma y las claves privadas. El FBI atribuyó posteriormente ese ataque al Lazarus Group de Corea del Norte. En cambio, el parche de emergencia actual aborda la verificación de recibos y el replay a nivel de protocolo.
Otro incidente de seguridad de bridge ocurrió poco antes del último problema de Harmony, involucrando el bridge XRPL-Coreum. Se robaron casi 200,000 XRP después de que un atacante engañara al sistema de verificación de depósitos del bridge para tratar una transferencia de wallet a wallet como un depósito legítimo. El incidente se presentó como contexto de seguridad contemporáneo, más que como técnicamente conectado con Harmony.
El impacto más amplio derivado de la última crisis de Harmony se describió como más limitado porque el ecosistema es más pequeño que en su pico de 2022, reduciendo la liquidez externa a través de la cual un shock de oferta de ONE podría propagarse. Aun así, miles de millones de tokens recién creados que llegan a la infraestructura de exchanges pueden afectar a los holders de ONE, a los market makers y a los sistemas de riesgo de los exchanges, mientras que la respuesta restante de Harmony se centra en el exceso de oferta ya creado, lo que los exchanges pueden congelar y si la red finalmente procede con un rollback.
Este artículo ha sido refinado y mejorado por ChatGPT.
