Harmony відкочує блокчейн, щоб прибрати 3,01 трлн підроблених токенів ONE

Harmony вирішила виконати відкат блокчейна на обох шардах, аби вилучити з обігу понад 3 трлн токенів ONE, створених унаслідок експлойту. Валідатори повернуть Shard 0 і Shard 1 до останнього підтвердженого блока перед шахрайським мінтингом, а всі наступні блоки та транзакції буде відкинуто. У повідомленні про інцидент в X компанія зазначила, що розглядала й інші сценарії відновлення, зокрема спалення токенів, внесення гаманців експлойтерів до чорного списку та міграцію власників ONE. У Harmony дійшли висновку, що такі заходи можуть створити технічні ускладнення або зачепити непричетних користувачів, тож обрали фіксоване "вікно" відкату. Компанія також наголошує, що єдине правило для всієї мережі замість точкового блокування окремих адрес, на її думку, знижує ризики повторних атак і збоїв консенсусу. Harmony підтвердила експлойт 12 серпня, коли розслідувачі виявили появу несанкціонованих ONE у мережі. Первинні оцінки вказували на близько 4 млрд токенів, створених через порожні блоки, але подальша перевірка показала, що це була лише частина проблеми. За підсумком Harmony повідомила про 3,01 трлн підроблених ONE у шести транзакціях. Ці транзакції пов'язали з чотирма гаманцями експлойтерів; один із них за дві хвилини переказав майже 2,4 трлн ONE. За довоєнними цінами активи оцінювалися майже у $3 млрд, хоча доступна ліквідність суттєво обмежувала б потенційні виплати. Компанія заявляє, що відстежила майже всі підроблені токени до ідентифікованих гаманців або сервісів, але переміщення через децентралізовані біржі та мости ускладнює повернення. Окремо підроблені ONE потрапили до пулів ліквідності й змішалися з активами інших користувачів, тому спалення або заморозка могли б зачепити непричетних учасників ринку. Розслідування пов'язало інцидент зі слабкістю перевірки кросшардових квитанцій: за даними Harmony, вона дозволяла зловмисникам багаторазово обробляти легітимні receipt-повідомлення. Це давало змогу створювати нові ONE без фіксації еквівалентного списання в іншому місці мережі. Harmony повідомила, що повністю закрила вразливість 12 серпня після виявлення першопричини. Відкат також анулює легітимні транзакції, здійснені між обраною точкою відновлення та поточним станом мережі. Отже, частина переказів у цьому проміжку зникне, і користувачам доведеться врахувати операції, яких більше не буде в ланцюжку після відновлення. Попри це Harmony вважає, що вибіркове вилучення токенів несе ще більші ризики, оскільки підроблені активи вже пройшли через кілька сервісів. Запланований відкат став основною стратегією повернення мережі до стану до експлойту. Публікація: "Harmony Chooses Blockchain Rollback After 3 Trillion ONE Tokens Forged" спочатку вийшла на 36Crypto.