Ce s-a întâmplat
Echipa de dezvoltare a rețelei Harmony a anunțat remedierea a două vulnerabilități critice în protocolul său, după ce au apărut informații privind baterea neautorizată a monedelor native ONE. Incidentul a fost semnalat inițial în comunitate, existând estimări neconfirmate de la analiști independenți care indicau o cifră de până la patru miliarde de token-uri ONE create artificial. Ca măsură de precauție, Harmony a solicitat platformelor de schimb (exchanges) să blocheze patru adrese de portofel suspecte și a suspendat temporar funcționarea punții sale tehnologice (bridge) pentru a preveni ieșirea fondurilor din ecosistem.
Context tehnologic
Problemele identificate au vizat două mecanisme fundamentale ale rețelei Harmony. Prima vulnerabilitate, denumită „pre-staking quorum flaw”, se referă la modul în care validatorii rețelei ajung la un consens înainte de a finaliza tranzacțiile. Un „quorum” este numărul minim de voturi necesare pentru ca o decizie să fie validată pe blockchain. A doua problemă, „receipt-replay flaw”, reprezintă o eroare de logică în care o confirmare de tranzacție (receipt) validă poate fi refolosită (replayed) pentru a executa aceeași operațiune de mai multe ori, permițând astfel dubla cheltuire sau, în acest caz, baterea repetată de active fără acoperire.
De ce contează
Securitatea punților cross-chain și a mecanismelor de consens este vitală pentru încrederea în ecosistemul Web3. Pentru Harmony, acest incident vine într-un moment sensibil, rețeaua încercând încă să își revină după exploatarea bridge-ului Horizon din 2022. Vulnerabilitățile de tip „minting” (batere) sunt extrem de periculoase deoarece pot duce la o inflație masivă și instantanee, prăbușind valoarea monedei pentru toți deținătorii și afectând lichiditatea în protocoalele DeFi asociate.
Impact
Pe termen scurt, incidentul a generat volatilitate pentru prețul ONE și a forțat utilizatorii să își amâne tranzacțiile cross-chain din cauza suspendării bridge-ului. Pe termen mediu, reputația Harmony depinde de transparența cu care vor comunica rezultatele auditului post-incident. Dacă se confirmă baterea a miliarde de token-uri, presiunea inflaționistă ar putea necesita măsuri drastice de „burn” (ardere a monedelor) sau modificări ale politicii monetare pentru a stabiliza piața.
Ce urmează
Ne așteptăm ca Harmony să publice un raport detaliat (post-mortem) care să clarifice suma exactă a token-urilor emise neautorizat. Tendința în industrie este către implementarea unor sisteme de monitorizare în timp real („circuit breakers”) care să oprească automat protocoalele atunci când detectează anomalii în fluxul de batere a monedelor. Consolidarea securității prin audituri multiple de la firme terțe va deveni obligatorie pentru orice L1 care dorește să reîntoarcă utilizatorii în ecosistem.