Harmony Protocol hoàn tác mạng sau vụ khai thác tạo trái phép 2,385 nghìn tỷ token ONE

Harmony Protocol sẽ tiến hành hoàn tác (rollback) toàn bộ mạng về trạng thái ngày 11/8 sau sự cố bảo mật ngày 12/8, khi kẻ tấn công lợi dụng lỗ hổng xác minh để "đúc" trái phép 2,385 nghìn tỷ token ONE. Theo thông báo kỹ thuật ngày 17/8, Harmony sẽ đưa Shard 0 về block height 92,730,034 và Shard 1 về block height 94,978,278, qua đó đảo trạng thái blockchain về thời điểm 23:25:37 UTC ngày 11/8, trước khi xảy ra xâm nhập ban đầu. Sự cố bắt đầu ngày 12/8. Kẻ tấn công khai thác các điểm yếu trong quy trình xác thực biên nhận liên shard (crossshard receipt validation) và mã xác minh quorum để giả mạo token. Ước tính ban đầu ghi nhận 4 tỷ ONE được đúc trái phép, nhưng phân tích on-chain sau đó cho thấy một ví đã thực hiện 534 lượt chuyển gian lận, mỗi lượt 5 tỷ ONE, trong 106 giây. Trong số này có 477 giao dịch thành công, dẫn đến việc tạo và chuyển trái phép tổng cộng 2,385 nghìn tỷ ONE. Nguồn cung token tăng đột biến khiến giá ONE lao dốc ngay lập tức, giảm hơn 30% khi lượng lớn token giả nhanh chóng được chuyển lên các sàn giao dịch tiền mã hóa. Đội ngũ Harmony cho biết đã triển khai bản vá khẩn cấp Mainnet v2026.1.1 để ngăn chặn việc tạo token trái phép thêm, tạm dừng dịch vụ cầu nối crosschain và đề nghị các sàn đóng băng những địa chỉ ví liên quan đến vụ khai thác. Trong thông báo đầu tuần, dự án cho biết đã cân nhắc nhiều phương án khác như đốt token có mục tiêu, đưa các cụm địa chỉ vào danh sách đen, phát lại chọn lọc các giao dịch và di chuyển token, trước khi kết luận rằng rollback theo "cửa sổ cố định" là lựa chọn duy nhất giúp tránh rủi ro ảnh hưởng đến các khoản tiền không liên quan hoặc gây sai lệch trạng thái chuỗi vĩnh viễn. Harmony xác nhận với sự hỗ trợ của một công ty bảo mật độc lập, hơn 99,9% dòng chảy của token giả đã được truy vết. Cơ quan thực thi pháp luật, các nhà cung cấp cầu nối và các sàn đối tác đang phối hợp cho nỗ lực thu hồi. Theo kế hoạch rollback, các validator sẽ sử dụng cơ sở dữ liệu thay thế bắt đầu từ các checkpoint block mục tiêu và tạo lại các block mới từ mốc đó. Harmony, dự án từng bị tấn công vào năm 2022, cho biết 141,628 block liên tiếp trên Shard 0 được tạo từ điểm rollback đến thời điểm tạm dừng mạng—bao gồm 109,126 giao dịch người dùng thông thường và 315 giao dịch staking—sẽ bị loại bỏ vĩnh viễn.