Блокчейн Harmony, який вже постраждав від злому мосту Horizon у 2022 році, зазнав другого серйозного удару за чотири роки. 12 серпня збій у перевірці міжшардових квитанцій дозволив зловмиснику створити токени ONE, не списуючи кошти з іншого рахунку. Результат приголомшує: понад 3 трильйони токенів було створено з нічого. Подальші події обіцяють бути такими ж радикальними, як і діагностика проблеми.
Ключові моменти статті:
- Блокчейн Harmony зіткнувся зі скандалом безпеки, який дозволив хакеру створити понад 3 трильйони токенів ONE з нічого.
- Для вирішення цієї катастрофи Harmony вдалася до повного відкату, який охопив понад 141 000 блоків і анулював численні транзакції.
ONE: як помилка в квитанціях дозволила створити 3 трильйони токенів
Механізм проблеми простий, але її наслідки вимірювали п’ять днів. Вразливість дозволяла одній і тій самій квитанції бути обробленою кілька разів між двома фрагментованими ланцюжками (шардами) Harmony, що фактично дозволяло карбувати монети без будь-якої компенсації. Перша оцінка 12 серпня говорила про 4 мільярди створених ONE. Це був лише верхівка айсберга.
Повне відновлення даних показало, що 3,01 трильйона ONE було створено шістьма транзакціями, відправленими на чотири різні гаманці, повідомляє The Block. Лише один із цих гаманців встиг перевести майже 2,4 трильйона ONE (близько 3 мільярдів доларів за цінами до атаки) менш ніж за дві хвилини. 477 успішних переказів із 534 спроб — усе це зайняло 106 секунд. Виправлення програмного забезпечення з’явилося того ж дня, коли стався злом.
Відкат, який має скинути лічильники на Harmony
Зважаючи на такий обсяг, спалювання токенів або внесення певних гаманців до чорного списку було недостатньо: занадто багато викарбуваних ONE вже пройшли через пули децентралізованого обміну, мости та контракти, змішуючи законні та вкрадені кошти.
Тому Harmony вирішила здійснити повний відкат шардів 0 і 1 до контрольної точки від 11 серпня, 23:25 UTC, а потім перезапустити систему на нових базах даних. Harmony оцінила масштаб робіт у 141 628 зачеплених блоків, а не просто програмне скасування, яке вважалося недостатнім для повного усунення наслідків атаки. За власними даними Harmony, операція коштувала анулювання понад 109 000 звичайних транзакцій та 315 транзакцій стейкінгу. Багато з них належали автоматизованим торговим ботам, але не всі, і ніхто не може гарантувати, що жоден невинний користувач не постраждав.
ONE в свободному падінні, довіра до Harmony підірвана
Не дивно, що ринок не особливо привітав цей епізод. Токен ONE втратив 42,3% за тиждень, його загальна капіталізація тепер становить лише близько 10,7 мільйонів доларів. Це майже мізерна сума порівняно з теоретичними 3 мільярдами доларів, створеними хакером за кілька хвилин, але це свідчить про прірву між номінальною вартістю та реальною ліквідністю вже й так проблемного токена.
Ця справа також не є унікальною: у 2016 році екосистема Ethereum вже стикалася з подібною дискусією, змусивши мережу переписати свою історію після злому на 3,6 мільйона ETH, що призвів до появи Ethereum Classic.