Slik førte et forfalsket mint-angrep til at Harmony må spole tilbake blokkjeden

Harmony-hendelsen 12. august 2026 var ikke bare et vanlig tyveri fra en kryptolommebok. Det var et problem med selve forsyningsintegriteten: En feil i kontrollen av kvitteringer mellom Harmony-nettverkets shards gjorde at kvitteringer som så gyldige ut, kunne behandles flere ganger. Dermed kunne angriperen utstede uautoriserte ONE-tokens på Shard 0. Harmony rettet sårbarheten, stanset berørte tjenester og valgte deretter et av de mest omfattende gjenopprettingstiltakene en aktiv blokkjede kan ta: å rulle tilbake til en kjent tilstand før angrepet.

Hva skjedde i Harmony-angrepet?

Den første hendelsesrapporten anslo at rundt 4 milliarder uautoriserte ONE ble opprettet rundt kl. 05:25 UTC 12. august. Harmony beskrev aktiviteten som forfalskede transaksjoner mellom shards og lanserte nødoppdateringen v2026.1.1 samme dag.

Senere analyse av blokkjeden ga et langt høyere tall. Én rekonstruksjon identifiserte rundt 3,01 billioner forfalskede ONE fordelt på seks forfalskede transaksjoner mellom shards og fire angriperlommebøker. Etterforskningen var fortsatt i gang med å avstemme det første og det senere estimatet.

Det er derfor rapporteringen veksler mellom «4 milliarder» og «billioner»: Det første tallet var den tidlige, bekreftede utstedelsen, mens det siste viser til en bredere rekonstruksjon av hvordan de forfalskede tokenene ble utstedt og flyttet.

Også opplysningene om den videre spredningen varierer. Én rapport oppgir at 2,385 billioner ONE ble flyttet gjennom 477 vellykkede overføringer, mens en annen beskriver 534 overføringer på 106 sekunder. Inntil det foreligger en endelig hendelsesoversikt, bør ingen av tallene for overføringer presenteres som fullt avklart.

Hvorfor valgte Harmony en tilbakerulling?

Harmony vurderte flere mindre omfattende alternativer: målrettede brenninger av tokens, svartelisting av lommebøker, selektiv avspilling av transaksjoner, migrering til en ny token og direkte inngrep i databasen. Selskapet valgte i stedet faste gjenopprettingspunkter for begge aktive shards.

Hovedproblemet var at den forfalskede beholdningen allerede hadde rukket å spre seg. ONE kunne ha gått gjennom lommebøker, børser, likviditetspooler, smartkontrakter og nye transaksjoner. En målrettet reparasjon måtte derfor identifisere hver berørte saldo og hver tilstandsendring korrekt. Harmony advarte om at en slik reparasjon også kunne ramme midler som ikke var knyttet til angrepet.

En svarteliste ville kunne blokkere adresser uten nødvendigvis å fjerne alle forfalskede tokens. Selektiv avspilling av transaksjoner kunne på sin side ført til avvik i saldoer, kontrakttilstand, transaksjonsnumre og avhengigheter mellom transaksjoner.

Et fast kontrollpunkt unngår tusenvis av enkeltvurderinger om hvilke transaksjoner som skal beholdes. Validatorene kan laste inn nye databaser fra den samme avtalte tilstanden og fortsette fra neste blokk. Det gir en deterministisk start på gjenopprettingen – men prisen er at all legitim aktivitet etter kontrollpunktet også forsvinner.

Kontrollpunktene og konsekvensene for brukerne

Harmony skal beholde følgende blokker:

• Shard 0: blokk 92 730 034
• Shard 1: blokk 94 978 278
• Tidspunkt: 11. august 2026 kl. 23:25:37 UTC

Validatorene skal etter planen fortsette blokkproduksjonen fra blokk 92 730 035 på Shard 0 og blokk 94 978 279 på Shard 1, med nye databaser. Klientversjon v2026.1.2 avviser de identifiserte problematiske blokk-hashene.

Alle blokker etter kontrollpunktene forkastes. Det gjelder også transaksjoner som ikke hadde noe med angrepet å gjøre. Rapporteringen anslår at mer enn 109 000 vanlige transaksjoner berøres. Den detaljerte oversikten viser 109 126 ordinære transaksjoner og 315 staking-transaksjoner.

For brukerne betyr dette at tilbakerullingen ikke er det samme som å fryse noen få angriperlommebøker. Legitime overføringer, bytter, staking-handlinger og annen aktivitet etter kontrollpunktet kan måtte gjentas eller håndteres på nytt etter at nettverket starter igjen.

Det finnes ikke tilstrekkelig dokumentasjon i materialet til å slå fast at de fleste berørte transaksjonene var automatiserte DEX-bot-transaksjoner. Den påstanden bør derfor ikke behandles som bekreftet.

Hva skjedde med de forfalskede tokenene?

Tilgjengelig rapportering tyder på at de forfalskede ONE-tokenene raskt ble spredt gjennom en rekke overføringer, i stedet for å bli liggende på én enkelt mint-adresse. Én rapport sier at en lommebok flyttet 2,385 billioner ONE gjennom hundrevis av overføringer på få sekunder. Harmony ga samtidig børser og LayerZero en liste over lommebøker knyttet til hendelsen.

Andre rapporter sier at børser ble bedt om å blokkere eller fryse midler som kunne spores til de offentliggjorte adressene. Slike tiltak kan begrense salg utenfor blokkjeden og videre flytting på tvers av kjeder. De gjenoppretter imidlertid ikke den kanoniske tilstanden på blokkjeden.

Det er nettopp denne forskjellen som forklarer hvorfor Harmony behandlet tilbakerulling som et bredere inneslutningstiltak, fremfor å stole utelukkende på samarbeid med børser og andre mellomledd.

Hva vet vi om kurs- og markedseffekten?

Hendelsen skapte åpenbart et alvorlig problem for både tokenforsyningen og likviditeten i ONE-markedet. Det tilgjengelige materialet gir likevel ikke en tilstrekkelig pålitelig og uavhengig bekreftet prisserie eller markedsverdiberegning til at man kan fastslå nøyaktig hvor mye ONE falt, eller hvor mye markedsverdi som gikk tapt.

Én rapport hevder at tokenet falt kraftig, men én enkelt kilde er ikke nok til å underbygge et presist tall for markedseffekten.

Den tryggeste konklusjonen er derfor at den uautoriserte utstedelsen svekket tilliten til tokenets forsyning. Børser, broer, validatorer og brukere måtte behandle oppgjør som usikre mens etterforskningen pågikk. Den nøyaktige markedsreaksjonen bør kontrolleres separat mot tidsstemplete data fra børser og markedsdatatjenester.

Et viktig spørsmål om styring av blokkjeder

Harmonys valg gjør en vanskelig avveining tydelig: Transaksjonenes endelighet underordnes gjenopprettingen av en kjent, korrekt tilstand. Det kan være mer omfattende enn å brenne eller svarteliste alle identifiserte falske beholdninger, men viser samtidig at en «uforanderlig» historikk kan bli gjenstand for styring når alternativet er å la forfalskede aktiva bli værende i protokollens tilstand.

Tilbakerullingen kan sammenlignes med andre reverseringer i kryptomarkedet, men materialet dokumenterer ikke de tekniske detaljene i Ravencoin-reaksjonen godt nok til en grundig sammenligning. Det bekrefter også at Harmony tidligere håndterte Horizon Bridge-hendelsen, blant annet med et forslag om kompensasjon i ONE, men materialet viser ikke at den nye tilbakerullingen formelt endrer Harmonys langsiktige politikk for fremtidige angrep.

Den umiddelbare lærdommen er mer avgrenset og praktisk: Når en feil i valideringen mellom shards gjør det mulig å spre forfalskede aktiva, handler gjenopprettingen ikke bare om å slette tokens. Nettverket må også avgjøre om det kan rekonstruere alle berørte saldoer, kontrakttilstander og avhengigheter mellom transaksjoner på en pålitelig måte.

Harmony vurderte at det ikke kunne gjøres trygt nok. Derfor valgte selskapet å tilbakestille begge shards.