Harmony запропонувала відкотити свій блокчейн до двох контрольних точок від 11 серпня, план відновлення, який відкине понад 109 000 звичайних транзакцій, оскільки мережа видаляє ONE, створені через підроблений мінт.
Підсумок
- Harmony планує відкотити свій блокчейн до двох контрольних точок від 11 серпня після підробленого мінту ONE.
- Понад 109 000 звичайних транзакцій та 315 стейкінг-транзакцій буде відкинуто за планом відновлення.
- Один гаманець підробленого мінту перемістив 2,385 трильйона ONE через 477 успішних переказів за 106 секунд.
- Harmony повідомила, що біржі, мости та правоохоронні органи допомагають у розслідуванні.
Згідно з останнім оновленням інциденту Harmony у X, валідатори збережуть блок 92 730 034 шарду 0 та блок 94 978 278 шарду 1, обидва записані о 23:25:37 UTC 11 серпня, перед перезапуском мережі з резервних баз даних, побудованих навколо цих контрольних точок.
За планом, нові блоки почнуться з висот 92 730 035 на шарді 0 та 94 978 279 на шарді 1. Harmony повідомила, що клієнтська версія v2026.1.2 налаштована відхиляти аномальні хеші блоків, пов'язані з інцидентом, що запобігає прийняттю валідаторами ураженої історії ланцюга після перезапуску.
Перший підтверджений підроблений мінт досяг шарду 0 на блоці 92 730 036, згідно з мережею. Блок 92 730 035 не містив звичайних або стейкінг-транзакцій, вхідних квитанцій чи використання газу, а його стан залишився незмінним від блоку 92 730 034.
Harmony повідомила, що вибрала блок 92 730 034, щоб забезпечити одноблоковий буфер безпеки. База даних, скрипти відновлення та процедури валідаторів також були підготовлені та перевірені навколо цього блоку, тоді як зміна контрольної точки на пізньому етапі може призвести до того, що валідатори працюватимуть з різних цілей відновлення.
Шард 1 не був місцем підробленого мінту. Harmony повідомила, що відповідна контрольна точка була включена як запобіжний захід з використанням того самого часового мітки.
Відкат Harmony використає резервні бази даних
План відновлення замінить уражені бази даних шардів замість використання існуючої функції відкату Harmony на місці.
За словами команди, функція мережі –revert в основному переміщує головки ланцюга і не повністю очищає пізніші квитанції, індекси, знімки та міжшардову інформацію. Залишення частини цих даних може зберегти шлях атаки або призвести до того, що валідатори досягнуть різних станів.
Harmony повідомила, що резервна база даних дає валідаторам єдиний перевірений стан, з якого можна відновити консенсус.
Команда також розглядала спалення або виправлення підроблених ONE безпосередньо, але заявила, що токени вже пройшли через біржі, пули децентралізованих бірж, контракти та численні гаманці. Видалення активів в окремих пунктах призначення може тому вплинути на кошти, що належать стороннім користувачам.
Чорний список був відхилений, оскільки це залишило б підроблену емісію в існуванні, потенційно обмежуючи гаманці, що містять законні активи. Вибіркове повторне відтворення транзакцій також було виключено, оскільки стан замінного ланцюга відрізнявся б від відкинутого ланцюга, тобто ідентичні транзакції могли дати різні результати.
Міграція токенів була ще одним варіантом, розглянутим Harmony, але команда заявила, що це спричинило б значно більше порушень.
Рішення прийнято після того, як інший блокчейн зіткнувся з подібним вибором після експлойту. У грудні 2025 року Flow переглянув плани відкату після експлойту рівня виконання на 3,9 мільйона доларів, відмовившись від початкової пропозиції повного відкату на користь цілеспрямованого спалення токенів після того, як оператори мостів та інші учасники висловили занепокоєння щодо впливу на законну діяльність. crypto.news повідомляв на той час, що Flow також планував поетапний перезапуск мережі та обмеження для позначених акаунтів.
Понад 109 000 транзакцій підлягають видаленню
Відкат Harmony відкине всі блоки, створені після вибраних контрольних точок, включаючи звичайні транзакції, здійснені користувачами протягом ураженого періоду.
Щоб виміряти вплив, команда створила архів shard 0, що охоплює блоки з 92 730 035 по 92 871 662. Набір даних містив 141 628 послідовних блоків, 109 126 звичайних транзакцій та 315 стейкінгових транзакцій, з 109 441 точним збігом транзакція-квитанція.
Harmony заявила, що перевірила безперервність хешу батьківського блоку та повноту квитанцій у всьому архівованому діапазоні.
Автоматизована активність становила більшість кількості транзакцій. З 109 126 звичайних транзакцій 104 545, або 95,80%, були класифіковані як автоматизовані. Автоматизація DEX становила 99 863 транзакцій, включаючи 75 430 успішних свопів та 11 804 невдалих спроб ботів.
У результаті Harmony застерегла, що кількість відхилених транзакцій не слід розглядати як кількість постраждалих користувачів.
Команда також дослідила, чи можна безпечно відновити деякі звичайні транзакції після відкату. Лише 22 були простими нативними переказами без очевидної залежності в доступних даних, але Harmony заявила, що навіть їх не можна автоматично вважати безпечними для повторного виконання.
Ще 860 нативних переказів викликали питання щодо балансів, джерел фінансування, nonce або подальших витрат. Ще 80 630 транзакцій залежали від стану контракту або блокчейну, тоді як 27 614 були невдалими транзакціями, активністю, пов'язаною з інцидентом, або переміщеннями, що включали біржі, мости та консолідаційні маршрути.
Усі 315 стейкінгових транзакцій також залежать від стану ланцюга та епохи, згідно з оновленням.
Harmony заявила, що баланси, nonce, схвалення токенів, дедлайни свопів, резерви пулів ліквідності та умови стейкінгу зміняться після запуску замінного ланцюга. За такого зміненого стану транзакція, яка раніше не вдалася, може бути успішною, тоді як своп, схвалення або стейкінгова транзакція можуть дати інший результат.
Повні трасування EVM також недоступні через дані RPC, використані в огляді, що залишає внутрішні перекази контрактів та зміни зберігання предметом аналізу, специфічного для застосунку.
Підроблені ONE переміщувалися через біржі, пули та мости
Розслідування окремо відстежило рух новостворених ONE по мережі.
За даними Harmony, один гаманець, причетний до підробленого випуску, спробував здійснити 534 перекази по 5 мільярдів ONE кожен протягом 106 секунд. Загалом 477 переказів були успішними, перемістивши 2,385 трильйона ONE.
Слідчі створили граф, упорядкований за часом, починаючи з усіх гаманців, пов'язаних із підробленими випусками, відокремлюючи транзакції, підписані цими гаманцями, від успішних переказів, невдалих спроб та подальших переміщень через інші адреси.
Відстежена активність була перевірена за блоками, квитанціями транзакцій та балансами до блоку 92 805 850 shard 0. Harmony заявила, що кошти досягли окремих гаманців, біржових рахунків, маршрутизаторів і пулів DEX, позицій постачальників ліквідності, мостових контрактів, обгорнутих ONE, стейкінгових гаманців та високооб'ємних сервісних гаманців.
Коли підроблені ONE змішувалися з іншими активами, модель трасування слідувала переказам у хронологічному порядку та обмежувала суму, віднесену до підроблених токенів, доступним балансом кожного гаманця. За словами команди, цей метод мав запобігти повторному підрахунку одних і тих самих токенів під час їх переміщення між адресами.
Раніша модель відстежила понад 99,9% підроблених ONE до межі гаманця або сервісу, тоді як пізніша версія узгодила майже всю суму через ці межі та комісії за транзакції на вибраному зрізі.
Harmony наголосила, що покриття маршрутів не означає, що слідчі можуть ідентифікувати осіб, які контролюють кожне призначення. Біржові рахунки, пули, контракти та інші сервісні кластери можуть містити кошти, що належать багатьом користувачам.
Сума, яку можна безпечно знищити, ще менша, за словами команди. Підроблені токени, що залишилися недоторканими в окремому гаманці, можливо, можна ізолювати, тоді як ONE, що потрапили в біржовий гаманець, пул ліквідності, міст, стейкінгову позицію або інший спільний баланс, більше не можна повністю видалити без ризику для не пов'язаних активів.
Подібна проблема виникла в інших атаках на випуск токенів. У червні Humanity Protocol розкрив, що скомпрометовані адміністративні ключі дозволили зловмисникам взяти під контроль інфраструктуру мосту та випустити додаткові токени H у BNB Smart Chain. Протокол призупинив постраждалі операції мосту та скоординував дії з біржами та правоохоронними органами, поки слідчі відстежували вкрадені активи.
Розслідування триває паралельно з відновленням валідатора
Harmony заявила, що досягла початкового прогресу у відстеженні хакера та співпрацює з біржами, мостами та правоохоронними органами для збереження записів і продовження розслідування.
Незалежна стороння компанія з безпеки також окремо переглянула інцидент і підтвердила підроблений випуск монет та основні висновки аналізу руху коштів, повідомляє мережа.
Harmony вже стикалася з серйозним інцидентом безпеки між ланцюгами. Її міст Horizon втратив близько 100 мільйонів доларів у червні 2022 року після компрометації приватних ключів, які контролювали міст. Після цього проєкт співпрацював з біржами, правоохоронними органами та аналітичними компаніями блокчейну для ідентифікації зловмисника, а також підвищив винагороду за інформацію про хакера до 10 мільйонів доларів.
Кошти з цієї атаки продовжували рухатися місяцями потому. У січні 2023 року ончейн-слідчі відстежили вкрадені ETH через сотні адрес, тоді як Binance та Huobi заморозили рахунки, пов'язані з рухом, і відновили 124 BTC.
Щодо поточного інциденту, Harmony заявила, що працює з біржами та мостами, щоб оцінити вплив відкидання активності після контрольної точки та визначити, як можна впоратися з постраждалими сторонами. Команда заявила, що всі блоки після контрольних точок будуть видалені в рамках запропонованого відновлення, включаючи звичайні транзакції, не пов'язані з підробленим випуском монет.
