Harmony colpita da un grave breach: conio illecito di 30 miliardi di token ONE
Gli attacchi informatici si stanno imponendo come una delle principali minacce per i protocolli crypto. Il 12 agosto l’utente X Juiceberg ha segnalato che i dati on-chain indicano lo sfruttamento di una vulnerabilità su Harmony, con la creazione non autorizzata di circa 40 miliardi di token ONE (valore superiore a 3 milioni di dollari), pari al 26% dell’offerta totale.
Durante il crollo del prezzo, circa 2,8 miliardi di token sarebbero stati trasferiti rapidamente verso exchange. L’endpoint pubblico dell’offerta totale di Harmony non avrebbe riflesso il nuovo conio, generando uno scostamento tra la supply effettiva on-chain e quella riportata pubblicamente. L’attaccante risulterebbe ancora in possesso di circa 115 milioni di token on-chain (circa il 2,9% della quantità coniata), mentre la gran parte sarebbe confluita su conti di exchange, venduta o parcheggiata in wallet di deposito.
Dopo la notizia, ONE è sceso da 0,00118 dollari fino a 0,00056, per poi risalire a 0,00078; il calo nelle ultime 24 ore resta vicino al 38%. L’account ufficiale di Harmony su X ha riferito di lavorare con il team e con diversi exchange per bloccare e congelare i fondi coinvolti, accelerando lo sviluppo di patch software e valutando anche l’opzione di un rollback della rete.
In seguito, il progetto ha pubblicato quattro indirizzi collegati, chiedendo esplicitamente agli exchange di bloccare e congelare qualsiasi fondi riconducibili: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn, one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4, one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7, one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy.
Intorno alle 14:00, Harmony ha annunciato la sospensione del bridge cross-chain bridge.harmony.one a causa dell’incidente di sicurezza e ha richiesto a tutti i validator di aggiornare immediatamente alla patch v2026.1.1. La patch, secondo la comunicazione ufficiale, impedisce ulteriori conii non autorizzati; un aggiornamento successivo affronterà il tema dei token già creati. Il relativo record di rilascio è disponibile su GitHub.
Si tratta del terzo problema rilevante, negli ultimi anni, legato a sicurezza o aspetti tecnici della token supply di Harmony. Nel giugno 2022 il bridge Horizon fu attaccato con perdite per circa 100 milioni di dollari; l’FBI attribuì poi l’episodio a un gruppo di hacker legato alla Corea del Nord. Nel dicembre 2023 un bug del sistema di staking portò al conio errato di circa 146,3 milioni di ONE su 74 indirizzi, con un singolo indirizzo che ricevette oltre 51 milioni di token; parte di questi finì poi su exchange. Il team rilasciò rapidamente una patch e misure correttive.
Dal punto di vista di mercato, pur con un’evidente diluizione dell’offerta e forte volatilità, l’impatto in termini assoluti appare contenuto. Prima dell’incidente la capitalizzazione di Harmony era già scesa a circa 17 milioni di dollari; dopo l’evento è scivolata a circa 12 milioni, con una perdita di circa 5 milioni. Nel 2022 il TVL aveva raggiunto un picco oltre 1,4 miliardi di dollari; secondo i dati più recenti di DefiLlama, oggi è sceso sotto i 170.000 dollari.
Il quadro tecnico potrebbe essere più ampio di quanto emerso inizialmente. Secondo il monitoraggio di CertiK Alert, alle 16:00 circa sarebbero stati coniati in modo anomalo oltre 3 trilioni di token ONE sulla rete Harmony, per un controvalore di circa 2,34 miliardi di dollari, distribuiti su sei blocchi anomali. Nelle fasi iniziali dell’attacco, l’attaccante avrebbe sfruttato l’API dell’offerta totale per mascherare i dati di minting; con l’aggregazione progressiva dei blocchi, i 40 miliardi indicati in un primo momento non rappresenterebbero una stima definitiva.
L’account X BlockWatchdog ha ricostruito l’accaduto attribuendolo a un grave errore logico nella verifica delle ricevute cross-shard e nella validazione delle firme, che avrebbe permesso di forgiare circa 3 trilioni di monete in un singolo attacco. Harmony è una chain sharded: per trasferire coin tra shard diversi serve una "ricevuta" come prova. L’hacker avrebbe creato ricevute false con queste caratteristiche: provenienza da un’epoca molto antica (epoch 100, mentre oggi la rete è oltre 3.000); firme completamente vuote (zero firme); trasferimento da un indirizzo "morto" (0x00…dEaD). In condizioni normali, la richiesta sarebbe stata respinta.
L’analisi evidenzia due vulnerabilità. La prima riguarda un controllo firme implementato in modo errato: nel verificare se "abbastanza persone hanno firmato", il sistema controllava solo "quanti membri ci sono nel comitato" e non "quante firme reali sono state fornite". Di conseguenza, con un comitato di dimensione ≥4, anche firme totalmente vuote potevano superare il controllo. La seconda riguarda la protezione contro il replay: il controllo su "questa ricevuta è già stata usata?", nelle epoche più vecchie, si basava su un campo controllabile dall’attaccante, consentendo il riutilizzo ripetuto della stessa ricevuta falsa o l’elusione del controllo. La combinazione dei due difetti rende possibile generare trilioni di token in un singolo attacco.
Al momento della stesura, il team non ha confermato se il rollback verrà effettivamente eseguito. Un rollback riporterebbe lo stato della chain a un punto precedente all’attacco, cancellando in teoria parte degli effetti del conio non autorizzato. Se però una quantità rilevante di token è già arrivata su exchange centralizzati ed è stata scambiata, l’efficacia operativa sarebbe limitata.
Le variabili di breve periodo includono l’effettivo congelamento dei fondi da parte degli exchange, la rapidità con cui i validator adottano le patch e il piano per gestire i token già creati. Harmony, Layer 1 tra i primi a puntare su alte prestazioni e commissioni basse, ha avuto un ruolo di rilievo nelle narrazioni DeFi e cross-chain. La sequenza di incidenti e il prolungato calo della capitalizzazione ne hanno ridotto la presenza nel mercato attuale. Il caso riporta al centro la fragilità delle blockchain pubbliche a bassa capitalizzazione sui meccanismi di consenso e di supply, e richiama gli operatori a valutare con maggiore attenzione lo storico di sicurezza e l’attività reale on-chain di progetti comparabili.
