Harmony victime d'une faille majeure : 30 milliards de jetons ONE frappés illégalement

Par Mah, Foresight News Les attaques informatiques s'imposent comme l'un des principaux risques systémiques pour les protocoles crypto. Le 12 août, l'utilisateur X Juiceberg a indiqué, sur la base de données on-chain, qu'Harmony avait subi l'exploitation d'une vulnérabilité ayant permis à un attaquant de frapper illégalement environ 40 milliards de ONE (plus de 3 millions de dollars), soit 26 % de l'offre totale. Selon ces informations, environ 2,8 milliards de jetons ont été transférés en urgence vers des plateformes d'échange pendant la chute des cours. Dans le même temps, l'endpoint public "total supply" d'Harmony n'a pas reflété cette création, créant un écart entre l'offre réelle observée on-chain et les données publiquement rapportées. L'attaquant détiendrait encore environ 115 millions de ONE sur la chaîne (environ 2,9 % des jetons frappés), l'essentiel ayant déjà rejoint des comptes d'échange, où ils auraient été vendus ou placés dans des portefeuilles de dépôt. Après la diffusion de l'alerte, le ONE est tombé de 0,00118 $ à 0,00056 $, avant de rebondir à 0,00078 $ ; il affiche encore une baisse proche de 38 % sur 24 heures. Harmony a réagi via son compte officiel sur X, indiquant travailler avec ses équipes et plusieurs exchanges concernés afin de bloquer et geler les fonds impliqués. Le projet dit aussi accélérer le déploiement de correctifs et étudier l'option d'un rollback du réseau. Dans un message ultérieur, l'équipe a publié quatre adresses de portefeuilles liées à l'incident et demandé explicitement aux plateformes d'échange de bloquer et geler tout flux traçable vers ces adresses : one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7 one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy Vers 14 h, Harmony a annoncé la suspension du pont cross-chain bridge.harmony.one à la suite de l'incident et a exigé que tous les nœuds validateurs mettent immédiatement à jour vers le correctif v2026.1.1. Selon l'équipe, ce patch empêche toute nouvelle frappe non autorisée ; une mise à jour ultérieure doit traiter le stock de jetons déjà créés. L'historique de version est disponible sur GitHub. Il s'agit du troisième événement majeur, ces dernières années, lié à la sécurité ou à la mécanique d'offre de jetons chez Harmony. En juin 2022, le pont Horizon avait été piraté, entraînant une perte d'environ 100 millions de dollars, un incident ensuite attribué par le FBI à un groupe de hackers lié à la Corée du Nord. En décembre 2023, un bug du système de staking avait conduit à la création erronée d'environ 146,3 millions de ONE répartis sur 74 adresses, dont une seule avait reçu plus de 51 millions de jetons ; une partie avait ensuite été envoyée vers des exchanges. L'équipe avait alors publié un correctif et mis en place des mesures de suivi. Sur le plan de marché, l'incidence en valeur absolue reste contenue malgré la dilution de l'offre et l'extrême volatilité. Avant l'incident, la capitalisation de Harmony était déjà retombée autour de 17 millions de dollars ; après l'attaque, elle est descendue vers 12 millions, soit une destruction d'environ 5 millions. Côté activité, Harmony avait culminé en 2022 avec une TVL supérieure à 1,4 milliard de dollars. D'après DefiLlama, elle est désormais inférieure à 170 000 $. Nouveau rebondissement : selon la surveillance de CertiK Alert, à environ 16 h, plus de 3 000 milliards de ONE auraient été frappés de façon anormale sur le réseau Harmony, pour une valeur estimée à 2,34 milliards de dollars, à travers six blocs anormaux. Au début de l'attaque, l'attaquant aurait exploité l'API "total supply" pour masquer les données de frappe ; au fil du groupage progressif des blocs, le chiffre de 40 milliards n'aurait été qu'une estimation très incomplète. Le compte X BlockWatchdog a analysé l'incident et affirme que l'attaquant a tiré parti d'une faille logique critique dans la vérification des reçus inter-shards et la validation des signatures, permettant de forger environ 3 000 milliards de jetons en une seule opération. Harmony étant une blockchain sharded, les transferts entre shards nécessitent un "reçu" faisant office de preuve. Le hacker aurait fabriqué de faux reçus indiquant : - une époque très ancienne (epoch 100 alors que le réseau est au-delà de 3 000) ; - des signatures vides (zéro signature) ; - un transfert depuis une adresse "morte" (0x00…dEaD). En théorie, le système aurait dû rejeter la requête. Deux failles auraient permis le contournement. D'abord, la vérification des signatures aurait été implémentée de manière incorrecte : pour déterminer si "assez de personnes ont signé", le protocole aurait vérifié la taille du comité plutôt que le nombre réel de signatures fournies. Si la taille du comité est ≥ 4, même des signatures vides passeraient la validation. Ensuite, la protection contre le rejeu présenterait une faiblesse : la vérification "ce reçu a-t-il déjà été utilisé ?" s'appuierait, pour les anciennes époques, sur un champ contrôlable par l'attaquant, ce qui rendrait possible la réutilisation répétée d'un même faux reçu ou le contournement complet du contrôle. Combinées, ces vulnérabilités permettraient de générer des milliers de milliards de jetons en une attaque. Au moment de la publication, l'équipe n'avait pas confirmé si un rollback serait effectivement appliqué. Une telle opération ramènerait l'état de la chaîne à un point antérieur à l'attaque et pourrait effacer une partie des effets de la frappe non autorisée. Si un volume important de jetons a déjà été déposé sur des exchanges centralisés et échangé, l'impact opérationnel d'un rollback resterait limité. À court terme, le marché surveille surtout l'efficacité du gel des fonds par les plateformes, la vitesse d'adoption des correctifs par les validateurs et le plan de traitement des jetons déjà frappés. Harmony, Layer 1 historique axée sur la performance et des frais faibles, a longtemps bénéficié de la dynamique DeFi et cross-chain. La répétition des incidents de sécurité, combinée à une baisse prolongée de la capitalisation, a fortement réduit sa visibilité. L'épisode met une nouvelle fois en lumière la fragilité des blockchains publiques à faible capitalisation en matière de consensus et de mécanismes d'offre, et rappelle aux investisseurs l'importance d'évaluer le passif de sécurité et l'activité on-chain réelle de ce type de projets.