Harmony sufre una grave brecha de seguridad: acuñados ilegalmente 30.000 millones de tokens ONE
Los ataques de hackers se están consolidando como la principal amenaza para los protocolos cripto. El 12 de agosto, el usuario de X Juiceberg afirmó que los datos on-chain apuntaban a la explotación de una vulnerabilidad en el protocolo Harmony, que habría permitido al atacante acuñar de forma ilícita cerca de 40.000 millones de tokens ONE (valorados en más de 3 millones de dólares), equivalentes al 26% del suministro total.
Según el análisis difundido, alrededor de 2.800 millones de tokens se habrían transferido rápidamente a exchanges durante el desplome del precio. Al mismo tiempo, el endpoint de suministro total de Harmony no reflejó esa acuñación, generando una discrepancia entre el suministro real en cadena y los datos públicos. El atacante mantiene aún unos 115 millones de tokens en la red (aproximadamente el 2,9% de lo acuñado), mientras que la gran mayoría ya habría llegado a cuentas en exchanges, donde se habría vendido o quedado en carteras de depósito.
Tras conocerse el incidente, ONE cayó de 0,00118 dólares a un mínimo de 0,00056 y posteriormente rebotó a 0,00078, con una bajada cercana al 38% en las últimas 24 horas. La cuenta oficial de Harmony respondió en X que trabaja con su equipo y con varios exchanges para bloquear y congelar los fondos implicados, avanza en el desarrollo de parches y evalúa la opción de un rollback de la red.
Más tarde, el proyecto publicó cuatro direcciones de monederos relacionadas y pidió explícitamente a todos los exchanges que bloqueen y congelen fondos rastreables hasta ellas: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn, one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4, one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7 y one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy.
Hacia las 14:00, Harmony anunció la suspensión del puente cross-chain bridge.harmony.one por el incidente de seguridad y exigió a todos los nodos validadores actualizar de inmediato al parche v2026.1.1. La explicación oficial indica que este parche impide nuevas acuñaciones no autorizadas y que una actualización posterior abordará los tokens ya acuñados. El registro de la versión está disponible en GitHub.
Se trata del tercer problema importante de seguridad o técnico relacionado con el suministro de tokens que sufre Harmony en los últimos años. En junio de 2022, el puente Horizon fue atacado y se perdieron aproximadamente 100 millones de dólares en activos; el FBI atribuyó posteriormente el incidente a un grupo de hackers vinculado a Corea del Norte. En diciembre de 2023, un fallo en el sistema de staking provocó la acuñación errónea de unos 146,3 millones de ONE en 74 direcciones, con una sola dirección recibiendo más de 51 millones; parte de esos tokens acabó transferida a exchanges. El equipo publicó entonces un parche y aplicó medidas adicionales.
Desde el ángulo de mercado, aunque este episodio genera una fuerte dilución de oferta y elevada volatilidad, el impacto en pérdidas absolutas parecía limitado. Antes del incidente, la capitalización de Harmony ya se había reducido a unos 17 millones de dólares; después, cayó a cerca de 12 millones, lo que supone una merma aproximada de 5 millones. En 2022, el TVL de Harmony llegó a superar los 1.400 millones de dólares; según DefiLlama, ahora se sitúa por debajo de 170.000 dólares.
La evaluación de la magnitud del ataque también ha ido escalando. CertiK Alert indicó que, hacia las 16:00, se habrían acuñado de forma anómala más de 3 billones de tokens ONE en la red de Harmony, valorados en torno a 2.340 millones de dólares, concentrados en seis bloques anómalos. En las primeras fases, el atacante habría explotado el API de suministro total para ocultar la acuñación y, a medida que se empaquetaban bloques distintos, la cifra inicial de 40.000 millones resultaba muy inferior a la real.
La cuenta de X BlockWatchdog analizó el incidente y sostuvo que el atacante aprovechó un fallo lógico crítico en la verificación de recibos entre shards y en la validación de firmas, falsificando cerca de 3 billones de monedas en un solo golpe. Harmony es una cadena con sharding y, para transferir monedas entre shards, se requiere un "recibo" como prueba. El hacker habría falsificado esos recibos con estas características: procedían de una epoch muy temprana (epoch 100, cuando ahora se superan las 3.000), incluían firmas vacías (cero firmas) y figuraban como enviados desde una dirección muerta (0x00…dEaD).
En condiciones normales, el sistema debería haber rechazado la solicitud. El análisis apunta a dos fallos: (1) la comprobación de firmas estaría mal implementada, ya que al verificar si "había suficientes firmantes" se comprobaba el tamaño del comité, no el número real de firmas aportadas; así, con un comité de tamaño ≥4, incluso firmas completamente vacías podrían pasar. (2) la protección anti-replay tendría una debilidad: en epochs antiguas, el control de "si el recibo ya se usó" dependía de un campo manipulable por el atacante, permitiendo reutilizar el mismo recibo falso repetidamente o saltarse el control. La combinación de ambos fallos posibilitaría generar billones de tokens en un único ataque.
Al cierre de esta información, el equipo oficial no había confirmado si ejecutará finalmente un rollback. Un rollback devolvería el estado de la cadena a un punto anterior al ataque, eliminando en teoría parte del efecto de la acuñación no autorizada. Aun así, si un volumen relevante ya entró en exchanges centralizados y se negoció, su eficacia práctica sería limitada.
En el corto plazo, el mercado vigilará si los exchanges logran congelar fondos relacionados, el ritmo de adopción del parche por parte de los validadores y el plan para gestionar los tokens ya acuñados. Harmony, una de las primeras Layer 1 centradas en alto rendimiento y bajas comisiones, tuvo peso en las narrativas de DeFi y cross-chain. La sucesión de incidentes de seguridad y el prolongado deterioro de su capitalización han reducido su protagonismo en el ecosistema. El episodio vuelve a subrayar la fragilidad de blockchains públicas de baja capitalización en su consenso y mecanismos de suministro, y refuerza la necesidad de evaluar con mayor rigor el historial de seguridad y la actividad real on-chain de proyectos similares.
