Harmony-Kette wurde gestern durchbrochen – eine lückenhafte Wiederholung von Cross-Shard-Quittungen ermöglichte es Angreifern, mindestens 3 Milliarden 000 Millionen 000 ONE „aus dem Nichts“ zu prägen.
Ereignis-Zeitlinie: Ab 12. August UTC 05:25 nutzten Angreifer Schwächen in der Validierungslogik von Cross-Shard-Quittungen. Durch gefälschte Transaktionen wurden in vier Wallets insgesamt etwa 3.010.000.100.000 ONE geprägt (die erste Welle von 4 Milliarden ONE erfolgte über zwei leere Blockguthaben). Das Harmony-Team setzte um 6:30 UTC einen Notfall-Patch v2026.1.1 ein, die Brücke wurde pausiert, und Börsen unterstützten durch das Einfrieren der betreffenden Adressen.
Technische Hauptursachen: Es gibt zwei Ebenen. Erstens: Das spent-Flag in Cross-Shard-Quittungen verlässt sich vor einem bestimmten Fork nur auf einen MerkleProof, der aus nicht verifizierten Feldern für den Schlüssel abgeleitet wird; Angreifer können diese Kennungen so manipulieren, dass bereits verarbeitete Quittungen „wie neu“ aussehen. Zweitens: In der Quorum-Validierung der Pre-Staking-Phase bestand ein Fehler – eine leere Signatur-Bitmap zusammen mit einer BLS-Aggregationssignatur mit lauter Null-Werten kann die Schwellenwertprüfung passieren. Die beiden Lücken zusammen erlaubten es den Angreifern, in leeren Blöcken ohne Gas den State Root zu verfälschen.
Bedeutung für den Markt:
1. Der zirkulierende ONE-Bestand wurde künstlich um Milliarden-ONE aufgeblasen. Selbst wenn ein Rollback gelingt (das Team hat bereits einen PR vorbereitet), braucht der Markt Zeit, um dem Sicherheitsniveau der Harmony-Kette wieder zu vertrauen. Nachdem der Harmony-Bridge-Hack 2022 100 Millionen USD gekostet hatte, hat sich das Ökosystem nie richtig erholt. Diesmal handelt es sich um eine Schwachstelle in der grundlegenden Konsensschicht – das ist noch gravierender.
2. Der Prüfungs- und Audit-Druck für die gesamte Cross-Chain-/Sharding-Architektur wird steigen. Jede L1, die ein ähnliches Cross-Shard-Nachrichtenübermittlungs-Mechanismus verwendet, muss den Pfad der Quittungsvalidierung erneut betrachten. Solche „schlafenden Lücken“ (vorhanden in veralteten Codepfaden aus der Pre-Fork-Ära) sind am schwersten abzusichern – sie werden erst Jahre nach dem Betrieb im Mainnet ausgelöst.
Richtungsurteil: Kurzfristig Abstand von ONE und Token im Zusammenhang mit dem Harmony-Ökosystem halten und Rollback-Bestätigungen sowie Berichte von Drittanbietern abwarten. Allgemeiner gesagt ist dies eine Erinnerung: Die Sicherheit von Layer 1 ist nicht für immer garantiert; technische Schulden in historischen Codepfaden können jederzeit zu einer Zero-Day-Angriffsfläche werden. Nutzer, deren Bestände sich auf wenige öffentliche Ketten konzentrieren, sollten ihr Risikoprofil neu bewerten.
#BTC #Crypto #HarmonyONE #链上安全
Ereignis-Zeitlinie: Ab 12. August UTC 05:25 nutzten Angreifer Schwächen in der Validierungslogik von Cross-Shard-Quittungen. Durch gefälschte Transaktionen wurden in vier Wallets insgesamt etwa 3.010.000.100.000 ONE geprägt (die erste Welle von 4 Milliarden ONE erfolgte über zwei leere Blockguthaben). Das Harmony-Team setzte um 6:30 UTC einen Notfall-Patch v2026.1.1 ein, die Brücke wurde pausiert, und Börsen unterstützten durch das Einfrieren der betreffenden Adressen.
Technische Hauptursachen: Es gibt zwei Ebenen. Erstens: Das spent-Flag in Cross-Shard-Quittungen verlässt sich vor einem bestimmten Fork nur auf einen MerkleProof, der aus nicht verifizierten Feldern für den Schlüssel abgeleitet wird; Angreifer können diese Kennungen so manipulieren, dass bereits verarbeitete Quittungen „wie neu“ aussehen. Zweitens: In der Quorum-Validierung der Pre-Staking-Phase bestand ein Fehler – eine leere Signatur-Bitmap zusammen mit einer BLS-Aggregationssignatur mit lauter Null-Werten kann die Schwellenwertprüfung passieren. Die beiden Lücken zusammen erlaubten es den Angreifern, in leeren Blöcken ohne Gas den State Root zu verfälschen.
Bedeutung für den Markt:
1. Der zirkulierende ONE-Bestand wurde künstlich um Milliarden-ONE aufgeblasen. Selbst wenn ein Rollback gelingt (das Team hat bereits einen PR vorbereitet), braucht der Markt Zeit, um dem Sicherheitsniveau der Harmony-Kette wieder zu vertrauen. Nachdem der Harmony-Bridge-Hack 2022 100 Millionen USD gekostet hatte, hat sich das Ökosystem nie richtig erholt. Diesmal handelt es sich um eine Schwachstelle in der grundlegenden Konsensschicht – das ist noch gravierender.
2. Der Prüfungs- und Audit-Druck für die gesamte Cross-Chain-/Sharding-Architektur wird steigen. Jede L1, die ein ähnliches Cross-Shard-Nachrichtenübermittlungs-Mechanismus verwendet, muss den Pfad der Quittungsvalidierung erneut betrachten. Solche „schlafenden Lücken“ (vorhanden in veralteten Codepfaden aus der Pre-Fork-Ära) sind am schwersten abzusichern – sie werden erst Jahre nach dem Betrieb im Mainnet ausgelöst.
Richtungsurteil: Kurzfristig Abstand von ONE und Token im Zusammenhang mit dem Harmony-Ökosystem halten und Rollback-Bestätigungen sowie Berichte von Drittanbietern abwarten. Allgemeiner gesagt ist dies eine Erinnerung: Die Sicherheit von Layer 1 ist nicht für immer garantiert; technische Schulden in historischen Codepfaden können jederzeit zu einer Zero-Day-Angriffsfläche werden. Nutzer, deren Bestände sich auf wenige öffentliche Ketten konzentrieren, sollten ihr Risikoprofil neu bewerten.
#BTC #Crypto #HarmonyONE #链上安全