Harmony Alami Insiden Keamanan Besar, Sekitar 40 Miliar Token ONE Dicetak Ilegal
Serangan peretas kian dianggap sebagai ancaman terbesar bagi protokol kripto. Pada 12 Agustus, pengguna X Juiceberg menyebut data on-chain mengindikasikan adanya eksploitasi celah pada protokol Harmony. Dalam insiden itu, pelaku diduga mencetak ilegal sekitar 40 miliar token ONE (bernilai lebih dari US$3 juta), setara 26% dari total pasokan.
Sekitar 2,8 miliar token disebut cepat mengalir ke bursa saat harga anjlok. Pada saat yang sama, endpoint total supply Harmony tidak menampilkan pencetakan tersebut, sehingga terjadi selisih antara pasokan aktual di on-chain dan data yang dipublikasikan. Pelaku masih menyimpan sekitar 115 juta token di on-chain (sekitar 2,9% dari jumlah yang dicetak), sedangkan sebagian besar telah masuk ke akun bursa untuk dijual atau tersimpan di dompet deposit.
Pasca kabar beredar, harga ONE turun dari US$0,00118 ke titik terendah US$0,00056, lalu pulih ke sekitar US$0,00078. Dalam 24 jam terakhir, penurunan tercatat hampir 38%.
Akun resmi Harmony di X menyatakan timnya bekerja sama dengan sejumlah bursa terkait untuk memblokir dan membekukan dana yang terlibat, sambil menyiapkan patch perangkat lunak dan menilai opsi rollback jaringan. Harmony juga mengungkap empat alamat dompet terkait dan meminta seluruh bursa memblokir serta membekukan dana yang dapat ditelusuri ke alamat berikut: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn; one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4; one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7; one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy.
Sekitar pukul 14.00, Harmony mengumumkan layanan jembatan lintas-rantai bridge.harmony.one dihentikan sementara akibat insiden keamanan. Seluruh validator diwajibkan segera memperbarui node ke patch terbaru v2026.1.1. Pihak Harmony menyebut patch ini mencegah pencetakan tidak sah lebih lanjut, sementara pembaruan berikutnya akan menangani token yang sudah terlanjur dicetak. Catatan rilis tersedia di GitHub.
Ini menjadi insiden besar ketiga terkait pasokan token atau masalah teknis dalam beberapa tahun terakhir. Pada Juni 2022, jembatan lintas-rantai Horizon diretas dan menyebabkan kerugian aset sekitar US$100 juta; FBI kemudian mengaitkannya dengan kelompok peretas yang terkait Korea Utara. Pada Desember 2023, bug pada sistem staking memicu pencetakan keliru sekitar 146,3 juta ONE ke 74 alamat, dengan satu alamat menerima lebih dari 51 juta token; sebagian token sempat mengalir ke bursa sebelum tim merilis patch dan mengambil langkah lanjutan.
Dari sisi pasar, meski insiden terbaru ini memicu dilusi pasokan dan volatilitas tajam, skala kerugian absolut dinilai terbatas. Sebelum kejadian, kapitalisasi pasar Harmony sudah turun ke sekitar US$17 juta; setelah kejadian turun lagi ke sekitar US$12 juta, menghapus kira-kira US$5 juta nilai pasar. Pada 2022, TVL Harmony sempat melampaui US$1,4 miliar, tetapi menurut DefiLlama, kini merosot menjadi kurang dari US$170.000.
CertiK Alert melaporkan bahwa hingga sekitar pukul 16.00, lebih dari 3 triliun token ONE telah dicetak secara anomali di jaringan Harmony, bernilai sekitar US$2,34 miliar, tersebar pada enam blok anomali. Pada fase awal serangan, pelaku memanfaatkan API total supply untuk menyamarkan data minting. Seiring pemrosesan bundling blok secara bertahap, angka 40 miliar token yang disebut sebelumnya dinilai jauh dari akurat.
Akun X BlockWatchdog menganalisis bahwa pelaku mengeksploitasi cacat logika kritis pada verifikasi receipt lintas-shard dan validasi tanda tangan, sehingga dapat memalsukan sekitar 3 triliun koin dalam satu serangan. Harmony merupakan chain sharded; pemindahan koin antar-shard memerlukan "receipt" sebagai bukti. Peretas diduga memalsukan receipt dengan karakteristik: berasal dari epoch sangat awal (epoch 100, sementara kini sudah di atas 3.000); seluruh tanda tangan kosong (zero signatures); diklaim berasal dari alamat "mati" (0x00…dEaD). Dalam kondisi normal, permintaan semestinya langsung ditolak.
BlockWatchdog menyebut ada dua celah yang saling memperparah. Pertama, pengecekan tanda tangan diimplementasikan keliru. Saat memverifikasi apakah "cukup orang menandatangani", sistem hanya memeriksa "berapa banyak anggota komite", bukan "berapa tanda tangan yang benar-benar diberikan". Akibatnya, selama ukuran komite ≥4, tanda tangan kosong sekalipun lolos. Kedua, perlindungan replay bermasalah: pemeriksaan "apakah receipt ini pernah dipakai" pada epoch lama bergantung pada sebuah field yang dapat dikendalikan penyerang, sehingga receipt palsu bisa dipakai berulang atau melewati pemeriksaan. Kombinasi keduanya memungkinkan pencetakan koin hingga triliunan dalam satu serangan.
Hingga berita ini disusun, tim Harmony belum memastikan apakah rollback jaringan akan dilakukan. Rollback dapat mengembalikan status chain ke titik sebelum serangan dan secara teori menghapus sebagian dampak minting ilegal. Jika token dalam jumlah besar sudah masuk ke bursa terpusat dan diperdagangkan, dampak praktisnya akan terbatas.
Variabel jangka pendek yang dipantau pasar meliputi efektivitas pembekuan dana oleh bursa, tingkat adopsi patch oleh node validator, serta rencana penanganan token yang sudah dicetak. Harmony sebagai Layer 1 generasi awal yang mengusung performa tinggi dan biaya rendah sempat menonjol di narasi DeFi dan cross-chain. Serangkaian insiden keamanan dan penurunan kapitalisasi pasar berkepanjangan telah menggerus visibilitasnya. Kasus ini kembali menegaskan rapuhnya blockchain publik berkapitalisasi kecil pada aspek konsensus dan mekanisme pasokan, serta menjadi pengingat agar pelaku pasar menilai lebih ketat rekam jejak keamanan dan aktivitas on-chain proyek sejenis.
