Harmony sofre grave falha de segurança; cerca de 40 bilhões de tokens ONE são cunhados ilegalmente
Artigo de: Mah, Foresight News
Ataques de hackers vêm se consolidando como um dos principais riscos para protocolos cripto. Em 12 de agosto, o usuário do X Juiceberg afirmou que dados on-chain indicaram a exploração de uma vulnerabilidade no protocolo Harmony, permitindo ao invasor cunhar ilegalmente cerca de 40 bilhões de tokens ONE (avaliados em mais de US$ 3 milhões), o equivalente a 26% da oferta total.
Durante a queda do preço, aproximadamente 2,8 bilhões de tokens foram rapidamente enviados para corretoras. Ao mesmo tempo, o endpoint público de oferta total da Harmony não refletiu a nova cunhagem, abrindo uma diferença entre a oferta real na blockchain e os números divulgados publicamente. O atacante ainda mantém cerca de 115 milhões de tokens on-chain (aproximadamente 2,9% do total cunhado), enquanto a maior parte já entrou em contas de exchanges, tendo sido vendida ou permanecendo em carteiras de depósito.
Após a divulgação, o ONE recuou de US$ 0,00118 para a mínima de US$ 0,00056 e depois reagiu para US$ 0,00078, queda de quase 38% nas últimas 24 horas.
A conta oficial da Harmony no X informou que está trabalhando com a equipe e com diversas exchanges para bloquear e congelar os fundos envolvidos, ao mesmo tempo em que avança no desenvolvimento de correções e avalia a possibilidade de rollback da rede. Na sequência, a equipe publicou quatro endereços relacionados e solicitou explicitamente às corretoras que bloqueiem e congelem recursos rastreáveis a eles: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn; one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4; one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7; one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy.
Por volta das 14h, a Harmony anunciou a suspensão do serviço de bridge cross-chain bridge.harmony.one devido ao incidente de segurança e determinou que todos os nós validadores atualizem imediatamente para o patch v2026.1.1. Segundo a equipe, a atualização impede novas cunhagens não autorizadas; uma atualização posterior tratará especificamente dos tokens já emitidos. O registro do release foi publicado no GitHub.
Este é o terceiro problema relevante nos últimos anos envolvendo segurança ou questões técnicas relacionadas à oferta do token. Em junho de 2022, a bridge Horizon foi atacada e cerca de US$ 100 milhões em ativos foram perdidos; posteriormente, o Federal Bureau of Investigation (FBI) atribuiu o caso a um grupo de hackers ligado à Coreia do Norte. Em dezembro de 2023, um bug no sistema de staking levou à cunhagem equivocada de cerca de 146,3 milhões de ONE em 74 endereços, com um único endereço recebendo mais de 51 milhões; parte desses tokens também foi enviada a exchanges. Na ocasião, a equipe liberou um patch e adotou medidas adicionais.
Do ponto de vista de mercado, embora o evento tenha provocado diluição relevante e volatilidade acentuada, a dimensão absoluta das perdas foi limitada. Antes do incidente, a capitalização de mercado da Harmony já havia recuado para cerca de US$ 17 milhões; depois, caiu para aproximadamente US$ 12 milhões, redução de cerca de US$ 5 milhões.
A rede também vem perdendo tração em DeFi. Em 2022, o TVL (valor total bloqueado) chegou a superar US$ 1,4 bilhão. Dados recentes da DefiLlama apontam TVL agora abaixo de US$ 170 mil.
A leitura do incidente mudou ao longo do dia. Segundo o monitoramento da CertiK Alert, por volta das 16h, mais de 3 trilhões de tokens ONE teriam sido cunhados de forma anômala na rede Harmony, avaliados em cerca de US$ 2,34 bilhões, distribuídos por seis blocos anômalos. No início do ataque, o invasor teria explorado a API de oferta total para ocultar os dados de cunhagem. Como blocos diferentes estavam sendo agregados progressivamente, os 40 bilhões estimados naquele momento estariam longe de refletir o total.
A conta BlockWatchdog no X analisou o caso e afirmou que o atacante explorou uma falha lógica crítica na verificação de recibos entre shards (cross-shard) e na validação de assinaturas, forjando cerca de 3 trilhões de moedas em um único ataque. A Harmony utiliza sharding; transferências entre shards exigem um "recibo" como prova. O hacker teria forjado esses recibos com características que, em condições normais, deveriam levar à rejeição imediata: referência a uma epoch muito antiga (epoch 100, enquanto a rede já está acima de 3.000), assinaturas vazias (zero assinaturas) e origem em um endereço "morto" (0x00…dEaD).
A análise aponta duas vulnerabilidades combinadas. A primeira estaria na checagem de assinaturas: ao verificar se "há assinaturas suficientes", o sistema consideraria apenas "quantos membros existem no comitê", e não "quantas assinaturas foram efetivamente apresentadas". Dessa forma, comitês com tamanho ≥4 poderiam aprovar até assinaturas totalmente vazias. A segunda seria uma falha na proteção contra replay: em epochs antigas, a checagem de "este recibo já foi usado?" dependeria de um campo controlável pelo atacante, permitindo reutilizar repetidamente o mesmo recibo falso ou contornar a verificação.
Até o fechamento, a equipe ainda não havia confirmado se o rollback será executado. Em tese, o rollback reverteria o estado da cadeia para antes do ataque, apagando parte dos efeitos da cunhagem não autorizada. Na prática, se um grande volume já entrou em exchanges centralizadas e foi negociado, o alcance da medida tende a ser limitado.
No curto prazo, o mercado deve monitorar três pontos: a eficácia do congelamento de fundos por exchanges, a velocidade de adoção do patch pelos validadores e o plano para lidar com os tokens já cunhados.
A Harmony, uma Layer 1 de geração inicial que ganhou espaço ao prometer alta performance e baixas taxas, já ocupou posição relevante em narrativas de DeFi e cross-chain. A sequência de incidentes de segurança e a queda prolongada de capitalização reduziram significativamente sua visibilidade. O caso reforça a fragilidade de blockchains públicas de baixa capitalização em mecanismos de consenso e de oferta, e serve de alerta para que participantes do mercado avaliem com mais rigor o histórico de segurança e a atividade real on-chain de projetos semelhantes.
