O token ONE da Harmony desvaloriza-se drasticamente depois de um atacante ter cunhado 4 mil milhões de tokens através de blocos vazios

A Harmony, a blockchain de camada 1 que outrora se apresentava como uma solução de escalabilidade para a Ethereum, confirmou a 12 de agosto que tinha sido alvo de um ataque, após um invasor ter cunhado cerca de 4 mil milhões de tokens ONE sem autorização — um montante equivalente a cerca de 26% de toda a oferta em circulação da rede naquele momento.

O primeiro sinal de problema veio do analista on-chain Juiceberg, que publicou no X que a blockchain da Harmony tinha sido explorada através de blocos vazios e que o endpoint`totalSupply` da rede não estava a refletir os novos tokens em tempo real:

A Harmony foi explorada, uma vez que os dados na cadeia revelam a criação não autorizada de 4 mil milhões de ONE (26% da oferta) através de blocos vazios, com 2,8 mil milhões rapidamente canalizados para as bolsas à medida que o preço descia, enquanto o endpoint totalSupply oculta a inflação do $ONE

Os blocos vazios são entradas comuns e válidas numa blockchain que não contêm transações de utilizadores. De acordo com as conclusões de Juiceberg, o atacante utilizou este mecanismo para desencadear a criação não autorizada de tokens enquanto o contador público de oferta da cadeia permanecia congelado, ganhando tempo antes que alguém a jusante — bolsas, rastreadores, outros validadores — percebesse que algo estava errado. Quando a emissão foi detetada, cerca de 2,8 mil milhões dos tokens recém-criados, aproximadamente 97% do total, já tinham chegado às carteiras das bolsas, onde tinham sido vendidos ou se encontravam em contas de depósito, prontos a ser utilizados. Juiceberg estimou que o que restava na cadeia era cerca de 115 milhões de ONE, ou menos de 3% do total roubado.

A Harmony confirmou a exploração horas mais tarde na sua conta oficial e solicitou diretamente às bolsas que congelassem os fundos associados a quatro endereços de carteira ligados ao ataque:

Solicitamos a todas as bolsas que bloqueiem e congelem os fundos que possam ser rastreados até estes 4 endereços de carteira: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

A equipa afirmou que está a trabalhar num patch de software e a ponderar opções de reversão, embora não tenha chegado a confirmar a vulnerabilidade exata nem o volume final da emissão. Uma reversão reiniciaria a cadeia para um ponto anterior à exploração e continuaria a partir daí — o que parece simples em teoria, mas também apagaria todas as transações legítimas que os utilizadores realizaram entretanto. Essa não é uma decisão que a Harmony possa tomar de ânimo leve.

A reação dos preços foi imediata e desastrosa. O ONE desceu entre 26% e 37%, dependendo do rastreador e do intervalo de tempo consultados, e estava a ser negociado em torno de 0,0008 dólares. A esse preço, os 4 mil milhões de tokens emitidos equivalem, no papel, a cerca de 3,2 milhões de dólares. É pouco comparado com o que um ataque a uma ponte no valor de 100 milhões de dólares representa numa folha de cálculo, mas o número nunca foi realmente o que importava. O que importa é que ninguém se apercebeu do que estava a acontecer enquanto isso acontecia.

Esta não é a primeira vez que a Harmony enfrenta um susto relacionado com a oferta. Em dezembro de 2023, um erro no sistema de staking cunhou indevidamente 146,28 milhões de ONE em dezenas de endereços de delegadores, depois de uma alteração na comissão dos validadores não ter sido tratada corretamente pela máquina de estados da rede. A Harmony implementou um hard fork de emergência, embora cerca de 16,4 milhões de tokens já tivessem chegado a uma bolsa nessa altura. Mais atrás ainda, em junho de 2022, atacantes comprometeram a carteira de assinaturas múltiplas na ponte inter-cadeias Horizon da Harmony e retiraram cerca de 100 milhões de dólares. Três incidentes relacionados com a oferta ou com pontes em quatro anos não é uma coincidência que os investidores vão ignorar facilmente.

A Harmony não é a única cadeia a lidar com este tipo de problema esta semana. A Ravencoin tem vindo a debater-se com a sua própria questão de rollback desde 7 de agosto, depois de uma falha na validação de blocos do KAWPOW ter permitido a entrada de blocos inválidos no seu livro-razão e levado os pools de mineração a reconstruir a cadeia a partir do primeiro bloco incorreto. Em junho, o Humanity Protocol perdeu cerca de 36 milhões de dólares quando chaves de administrador comprometidas foram utilizadas para cunhar 300 milhões de tokens H não autorizados em duas redes, tendo esse token caído quase 90%. A cunhagem não autorizada continua a surgir como o modo de falha, em cadeias com muito pouco mais em comum.

Por enquanto, os detentores de ONE estão atentos a duas questões: se a Harmony conseguirá que as bolsas congelem os tokens que ainda se encontram nas carteiras de depósito antes de serem vendidos e se um rollback está sequer em cima da mesa sem alienar os utilizadores cujas transações seriam anuladas. Nenhuma das respostas parece simples.