Harmony为何回滚ONE区块链：一次跨分片漏洞如何引发账本重置

为什么不只冻结地址或销毁代币？

Harmony表示，它曾考虑定向销毁、钱包黑名单、选择性重放交易、ONE代币迁移，以及直接修改数据库等方案，最终决定为两个活跃分片设定固定恢复点。

核心问题在于：伪造ONE并没有停留在单一铸币地址，而是已经进入钱包、交易所、流动性池、合约和后续交易。一旦资产在网络中扩散，修复就不再是“找到攻击者并扣除余额”这么简单。

• 定向销毁或修复存在误伤风险。 如果无法完整追踪每一枚伪造ONE及其后续状态变化，手动调整可能影响与攻击无关的资金。
• 黑名单未必能消除伪造发行。 它可以阻止特定地址继续操作，却不一定能从所有相关地址和合约状态中清除伪造代币，还可能误封无辜钱包。
• 选择性重放可能造成状态不一致。 交易之间存在余额、合约状态、交易nonce（用于保证交易顺序和防止重复执行）等依赖。只恢复“看起来合法”的交易，可能导致余额、合约执行结果或交易顺序不匹配。
• 原地修改更难审计。 直接对数据库或链上状态进行人工干预，会增加共识、数据库状态和后续验证方面的新风险。

固定检查点的优势，是让验证者从同一个、可确定的状态重新开始，而不是对成千上万笔交易逐一判断“哪些应该保留”。代价同样明确：检查点之后的合法活动，也会和攻击状态一起被清除。

Harmony具体回滚到哪里？

Harmony公布的恢复点为：

• Shard 0： 区块 92,730,034
• Shard 1： 区块 94,978,278
• 对应时间： 2026年8月11日23:25:37 UTC

验证者将使用以这些区块为基础的替换数据库，并分别从区块92,730,035和94,978,279继续生产新区块。客户端v2026.1.2则会拒绝已识别的异常区块哈希。

用户会损失什么？

回滚并不等于只冻结几个攻击者地址。上述检查点之后产生的所有区块都会被丢弃，其中包括与攻击无关的真实交易。详细统计显示，受影响窗口包含109,126笔普通交易和315笔质押交易，总量超过10.9万笔。

因此，用户在回滚点之后完成的转账、兑换、质押或其他链上操作，可能需要在网络恢复后重新执行，或按照Harmony后续安排处理。现有证据并未证明这些交易中的大多数都是自动化DEX机器人交易，因此不应把这一说法当作已确认事实。

伪造ONE后来流向了哪里？

现有报告显示，伪造ONE通过一系列快速转账扩散，而不是一直停留在单个铸币钱包中。Harmony向交易所和跨链协议LayerZero提供了相关事件钱包清单；其他报道则称，交易所被要求拦截或冻结可追溯至这些地址的资金。

这些措施有助于限制场外变现和跨链转移，但无法单独恢复链上唯一的规范状态。也正因为如此，Harmony将回滚视为更全面的遏制手段，而不是仅依靠交易所、桥和其他中介机构协作。

ONE的价格和市值到底受到了多大影响？

可以确认的是，这起事件造成了严重的供应完整性和流动性问题。但现有材料没有提供足够可靠、且经过独立交叉验证的价格时间序列或市值计算，因此无法据此准确断言ONE下跌了多少，或损失了多少市值。

更稳妥的结论是：未经授权的增发削弱了市场对ONE供应量的信任，并使交易所、跨链桥、验证者和用户在调查期间面临结算不确定性。至于具体的价格跌幅和市值变化，仍应通过带时间戳的交易所和市场数据另行核实。

这次回滚对区块链治理意味着什么？

Harmony的决定把区块链治理中的一项现实取舍摆到了台面上：在伪造资产已经嵌入协议状态的情况下，交易最终性可能让位于恢复一个已知可靠的账本状态。

这比冻结地址或销毁可识别的伪造余额更加激进，却也可能更彻底。它同时说明，“区块链不可篡改”并不意味着在重大安全事件中历史永远不会被治理层重新处理；当替代方案是让伪造资产继续留在协议状态中时，回滚可能成为一项治理选择。

这次事件可以与其他区块链回滚案例进行比较，但现有材料没有充分记录Ravencoin应对事件的技术细节，无法作出可靠的深入对比。材料也确认，Harmony此前曾处理过Horizon Bridge事件，并提出过以ONE进行补偿的方案；但现有证据不足以证明，本次回滚已经正式改变Harmony未来应对漏洞的长期政策。

眼下最明确的经验并不在于“如何删除代币”，而在于：当跨分片验证漏洞允许伪造资产快速传播时，网络必须判断自己能否准确重建每一个受影响的余额、合约状态和交易依赖。Harmony认为继续逐项修复的安全性不足，于是选择重置两个分片——这是一次代价高昂、但起点更确定的账本恢复。