Harmony откатит блокчейн, чтобы удалить 3,01 трлн поддельных токенов ONE

Harmony решила провести откат блокчейна на обоих шардах, чтобы убрать из обращения свыше 3 трлн токенов ONE, выпущенных в результате эксплойта. Валидаторы вернут Shard 0 и Shard 1 к последнему подтверждённому блоку до момента мошеннического "минтинга", а все последующие блоки и транзакции будут отброшены. В обновлении инцидента, опубликованном Harmony в X, говорится, что выбранное решение восстанавливает состояние сети до атаки. Компания рассматривала и другие варианты — сжигание токенов, внесение кошельков злоумышленников в чёрный список, миграцию держателей ONE — но сочла, что такие меры могут создать технические сложности или затронуть пользователей, не имеющих отношения к атаке. Фиксированное окно отката, по оценке Harmony, позволяет применить единое правило для всей сети, не нацеливаясь на отдельные адреса, и тем самым снизить риски повторной атаки и сбоев консенсуса. Harmony подтвердила взлом 12 августа после выявления несанкционированного поступления ONE в сеть. Первичные данные указывали на выпуск около 4 млрд токенов через пустые блоки, но последующая проверка показала, что это лишь часть проблемы: расследование зафиксировало 3,01 трлн поддельных ONE в шести транзакциях. Эти транзакции связали с четырьмя кошельками эксплуататоров; один из них перевёл почти 2,4 трлн ONE примерно за две минуты. По докризисным ценам объём оценивался почти в $3 млрд, хотя реальная ликвидность ограничила бы возможную выручку. По данным Harmony, почти все поддельные токены удалось отследить до конкретных кошельков или сервисов, но перемещения через DEX и мосты усложняют возврат. Часть ONE попала в пулы ликвидности и смешалась с активами других пользователей, поэтому сжигание или заморозка могли бы затронуть непричастных участников рынка. Эксплойт связали со слабостью в проверке межшардовых квитанций: злоумышленники, предположительно, могли многократно обрабатывать легитимные квитанции, создавая новые ONE без соответствующего списания в другом месте сети. Уязвимость полностью закрыли 12 августа после выявления первопричины. Откат затронет не только мошенническую эмиссию. Все действия, записанные между выбранной точкой восстановления и текущим состоянием сети, будут удалены, включая легитимные транзакции. Пользователям придётся учитывать, что некоторые переводы и операции, выполненные в этот период, после восстановления не будут существовать. Несмотря на это, Harmony пришла к выводу, что точечное изъятие активов несёт более высокий риск, поскольку поддельные токены уже прошли через несколько сервисов. Планируемый откат стал ключевой стратегией Harmony по удалению несанкционированного предложения. Валидаторы синхронно реализуют восстановление на обоих шардах и зафиксируют состояние сети, к которому она будет возвращена.