Rollback da Harmony: como uma falha entre shards levou à reversão do ledger da ONE

O incidente de 12 de agosto de 2026 não foi apenas um caso de roubo de carteiras. Ele comprometeu a integridade da oferta da ONE: uma falha na verificação de recibos entre shards permitiu que recibos aparentemente válidos fossem processados mais de uma vez. Com isso, tokens ONE foram emitidos sem autorização no Shard 0.\n\nA Harmony corrigiu a vulnerabilidade, suspendeu serviços relacionados ao incidente e optou por uma das medidas mais disruptivas disponíveis para uma blockchain em operação: voltar a um estado conhecido anterior ao ataque. \n\n## O que aconteceu no ataque à Harmony\n\nA primeira estimativa do incidente indicava aproximadamente 4 bilhões de ONE emitidos sem autorização por volta das 5h25 UTC de 12 de agosto. Segundo a Harmony, a atividade envolveu transações cross-shard falsificadas, e a equipe publicou a versão emergencial v2026.1.1 no mesmo dia. \n\nUma análise posterior da blockchain chegou a um número muito maior. Uma reconstrução identificou aproximadamente 3,01 trilhões de ONE falsificados em seis transações cross-shard forjadas e quatro carteiras controladas pelo invasor. A investigação, porém, ainda conciliava as medições inicial e posterior. \n\nÉ por isso que os relatos alternam entre “4 bilhões” e “trilhões”: o primeiro número era a estimativa inicial confirmada, enquanto o segundo refletia uma reconstrução mais ampla da emissão e da movimentação dos tokens falsificados.\n\nOs relatos também descrevem uma distribuição rápida a partir de uma carteira ligada ao invasor, mas os números não são totalmente consistentes. Um levantamento menciona 2,385 trilhões de ONE movimentados em 477 transferências bem-sucedidas; outro fala em 534 transferências realizadas em 106 segundos. Por isso, não é seguro tratar uma única contagem de transferências como definitiva sem um ledger final do incidente.\n\n## Por que a Harmony escolheu o rollback\n\nA Harmony avaliou respostas mais restritas, como queimas direcionadas, listas negras de carteiras, reexecução seletiva de transações, migração do token e intervenção direta nos bancos de dados. No fim, escolheu checkpoints fixos de recuperação para os dois shards ativos. \n\nO problema central era a contaminação do estado da rede. Depois que os ONE falsificados passaram por carteiras, corretoras, pools de liquidez, contratos e outras transações, uma correção direcionada teria de identificar corretamente cada saldo e cada mudança de estado afetados. A própria Harmony afirmou que um reparo seletivo também poderia atingir fundos não relacionados ao ataque.\n\nUma lista negra poderia bloquear endereços sem necessariamente remover todos os tokens falsificados. Já a reexecução seletiva poderia provocar divergências em saldos, estados de contratos ou nonces — números usados pelos contratos e carteiras para manter a ordem das transações. \n\nUm checkpoint fixo evita milhares de decisões individuais sobre quais transações devem sobreviver. Os validadores podem carregar bancos de dados substitutos a partir do mesmo estado acordado e retomar a produção de blocos a partir das alturas seguintes. Isso cria um ponto de partida determinístico para a recuperação, embora também elimine atividades legítimas realizadas depois do checkpoint.\n\n## Os pontos exatos da reversão e o impacto para usuários\n\nA Harmony planeja manter:\n\n- Shard 0: bloco 92.730.034\n- Shard 1: bloco 94.978.278\n- Horário do checkpoint: 11 de agosto de 2026, às 23:25:37 UTC\n\nA previsão é que os validadores retomem a produção nos blocos 92.730.035 e 94.978.279 usando bancos de dados substitutos. A versão do cliente v2026.1.2 rejeita os hashes dos blocos problemáticos identificados. \n\nO custo é alto: todos os blocos posteriores aos checkpoints serão descartados, inclusive transações que não tinham relação com o ataque. Os relatos apontam para mais de 109 mil transações comuns afetadas — 109.126 transações regulares e 315 transações de staking na divisão detalhada. \n\nPara os usuários, isso significa que o rollback não equivale a simplesmente congelar algumas carteiras do invasor. Transferências, swaps, operações de staking e outras atividades legítimas realizadas depois do checkpoint podem precisar ser refeitas ou tratadas após a retomada da rede. As evidências disponíveis não comprovam que a maioria das transações afetadas era composta por operações automatizadas de bots de DEX; essa caracterização não deve ser apresentada como fato confirmado.\n\n## O que aconteceu com os tokens falsificados\n\nOs relatos disponíveis indicam que os ONE falsificados se espalharam rapidamente por uma sequência de transferências, em vez de permanecerem em um único endereço de emissão. Um levantamento afirma que uma carteira movimentou 2,385 trilhões de ONE em centenas de transferências em poucos segundos. A Harmony também forneceu às corretoras e à LayerZero uma lista de carteiras relacionadas ao incidente. \n\nOutros relatos dizem que corretoras foram solicitadas a bloquear ou congelar fundos rastreáveis aos endereços divulgados. Essas medidas podem limitar a conversão em dinheiro fora da blockchain e a movimentação entre redes, mas não restauram, por si só, o estado canônico do ledger.\n\nEssa diferença ajuda a explicar por que a Harmony tratou o rollback como uma medida mais ampla de contenção, em vez de depender apenas da coordenação com corretoras, bridges e outros intermediários.\n\n## O que as evidências mostram sobre o impacto de mercado da ONE\n\nO incidente claramente criou um problema grave de integridade da oferta e de liquidez. No entanto, as evidências fornecidas não trazem uma série de preços suficientemente confiável e corroborada de forma independente, nem um cálculo de valor de mercado que permita afirmar exatamente quanto a ONE caiu ou quanto de capitalização perdeu. Um relatório menciona uma queda acentuada, mas esse único relato não basta para sustentar um número preciso de impacto. \n\nA conclusão mais segura é que a emissão não autorizada abalou a confiança na oferta do token e levou corretoras, bridges, validadores e usuários a tratar a liquidação das operações como incerta enquanto a investigação avançava. A dimensão exata da reação do mercado deve ser verificada separadamente com dados de exchanges e registros de mercado acompanhados por horário.\n\n## O precedente para a governança das blockchains\n\nA decisão da Harmony explicita uma troca difícil: a finalidade das transações está sendo colocada em segundo plano diante da restauração de um estado considerado confiável. A medida pode ser mais abrangente do que tentar queimar ou colocar em lista negra cada saldo falsificado, mas também confirma que o histórico de um ledger “imutável” pode se tornar uma decisão de governança quando a alternativa é deixar ativos falsos incorporados ao estado do protocolo. \n\nO caso pode ser comparado a outras reversões no setor, mas as evidências fornecidas não detalham suficientemente a resposta técnica da Ravencoin para permitir uma comparação aprofundada. Elas também confirmam que a Harmony já havia lidado com o incidente da Horizon Bridge, incluindo uma proposta de reembolso baseada em ONE, mas não comprovam que o novo rollback altere formalmente a política de longo prazo da rede para futuros ataques. \n\nA lição imediata é mais específica e prática: quando uma falha na validação entre shards permite que ativos falsificados se espalhem, a recuperação não consiste apenas em apagar tokens. É preciso decidir se a rede consegue reconstruir com segurança cada saldo afetado, o estado dos contratos e as dependências entre transações. A Harmony concluiu que não poderia fazer isso com segurança suficiente e escolheu reiniciar os dois shards a partir de um estado anterior.