Harmonyで大規模なセキュリティ侵害、ONEトークン約400億枚が不正ミント
暗号資産プロトコルにとって、ハッキング被害が最大のリスクとして存在感を強めている。
8月12日、XユーザーのJuicebergは、オンチェーンデータからHarmonyで脆弱性を突かれ、攻撃者がONEトークンを約400億枚（300万ドル超相当）不正にミントした可能性があると指摘した。これは総供給量の約26%に相当する。価格急落の局面では、約28億枚が短時間で取引所へ送金された一方、Harmonyの総供給量エンドポイントには当該ミントが反映されず、オンチェーン上の実際の供給量と公開データの間で乖離が生じたという。
攻撃者はオンチェーン上に約1億1500万枚（不正ミント分の約2.9%）を残しているとされる。大半は取引所口座に流入し、売却済み、または入金ウォレットで保管されているとみられる。
この報道後、ONE価格は0.00118ドルから0.00056ドルまで急落し、その後0.00078ドル付近まで戻したものの、直近24時間で約38%下落した。
Harmonyの公式アカウントはXで、チームおよび複数の関連取引所と連携して当該資金のブロックと凍結を進めると説明。ソフトウェアのパッチ開発を進め、ネットワークのロールバック（巻き戻し）も選択肢として検討しているとした。さらに、関連する4つのウォレットアドレスを公表し、これらに紐づく資金のブロック・凍結を取引所に要請した。
one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn
one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4
one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7
one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy
公式発表によると、午後2時ごろにセキュリティ事案を理由としてクロスチェーンブリッジ「bridge.harmony.one」を停止。すべてのバリデータノードに対し、最新パッチのv2026.1.1への即時アップグレードを求めた。パッチは追加の不正ミントを防止し、既にミントされたトークンの扱いは後続アップデートで対応する方針だという。関連リリース記録はGitHubで公開されている。
Harmonyがトークン供給に関わる重大なセキュリティ／技術問題に直面するのは近年で3度目となる。2022年6月にはHorizonクロスチェーンブリッジが攻撃を受け、約1億ドル相当の資産が流出。米連邦捜査局（FBI）は後に北朝鮮系ハッキング集団の関与を指摘した。2023年12月にはステーキングシステムのバグで、74アドレスに合計約1億4630万枚のONEが誤ってミントされ、単一アドレスが5100万枚超を受領し、一部が取引所へ送金された。チームは当時、迅速にパッチを提供しフォローアップ対応を実施したとしている。
市場面では、今回の供給増による希薄化と価格変動は大きいものの、損失規模は限定的との見方もある。事案前に約1700万ドルまで低下していたHarmonyの時価総額は、事案後に約1200万ドルへ縮小し、約500万ドル分が失われた。2022年にTVL（預かり資産）が一時14億ドル超に達したが、DefiLlamaの最新データでは現在17万ドル未満まで落ち込んでいる。
一方、CertiK Alertの監視では、午後4時ごろ時点でHarmonyネットワーク上に異常ミントが発生し、6つの異常ブロックでONEが3兆枚超（約23.4億ドル相当）ミントされたとされる。攻撃初期には総供給量APIを悪用してミント情報を隠蔽し、ブロックが段階的に束ねられていく過程で、当初の「400億枚」という推計は大幅に過小だった可能性がある。
XアカウントのBlockWatchdogは、Harmonyのクロスシャードにおけるレシート検証と署名検証に致命的な論理欠陥があり、単一の攻撃で約3兆枚を偽造できたと分析した。Harmonyはシャーディング型チェーンで、シャード間送金には証明としての「レシート」が必要になる。攻撃者はレシートを偽造し、内容としては（1）非常に古いエポック（epoch 100、現在は3000超）からのもの（2）署名が空（ゼロ署名）（3）送金元がバーン済みアドレス（0x00…dEaD）といった不自然な条件だったという。本来であれば拒否されるべきところ、2つの脆弱性が重なって通過したとされる。
1点目は署名チェックの実装不備だ。「十分な人数が署名したか」を確認する際、実際に提出された署名数ではなく、委員会の人数のみを見ていたため、委員会サイズが4以上であれば署名が空でも検証を通過し得る状態だった。
2点目はリプレイ防止の欠陥だ。「このレシートが過去に使用済みか」の判定が、古いエポックでは攻撃者が操作可能なフィールドに依存していたため、同一の偽レシートを繰り返し使えたり、チェックを回避できたりした可能性がある。この2つが組み合わさることで、1回の攻撃で兆単位のコイン生成が成立し得るという。
記事執筆時点で、公式チームはロールバックを最終的に実施するかどうかを明言していない。ロールバックは理論上、攻撃前の状態へチェーンを戻し、不正ミントの影響を一部打ち消す。ただし、既に大量のトークンが中央集権型取引所へ流入し取引されている場合、実務上の効果は限られる。短期的な焦点は、取引所が関連資金をどこまで凍結できるか、バリデータによるパッチ適用の進捗、既にミントされたトークンをどう処理するかにある。
高性能・低手数料を掲げる初期のL1として、HarmonyはかつてDeFiやクロスチェーンの文脈で存在感を示した。だが、度重なるセキュリティ問題と時価総額の長期低迷により、現在の暗号資産市場での注目度は大きく低下している。今回の事案は、低時価総額のパブリックチェーンが合意形成や供給メカニズムの面で抱え得る脆弱性を改めて示し、投資家に対しては過去のセキュリティ履歴と実際のオンチェーン活動をより慎重に見極める必要性を突きつけた。
