La cadena Harmony se vio comprometida ayer: una vulnerabilidad de reenvío de recibos entre fragmentos permitió al atacante acuñar “de la nada” al menos 3.000 millones de ONE.
Línea de tiempo del incidente: desde las 05:25 UTC del 12 de agosto, el atacante aprovechó una falla en la lógica de validación de recibos entre fragmentos para acuñar aproximadamente 3.010.000.100.000 ONE en cuatro carteras mediante transacciones falsificadas (la primera oleada de 4.000 millones de ONE se completó mediante dos créditos de bloques vacíos). El equipo de Harmony desplegó un parche de emergencia v2026.1.1 a las 6:30 UTC; el puente fue pausado y las bolsas colaboraron congelando las direcciones relacionadas.
Las causas técnicas tienen dos capas: primero, el marcador “spent” de los recibos entre fragmentos, antes de un fork específico, solo deriva la clave usando el campo MerkleProof no verificado; el atacante puede modificar estos identificadores para que un recibo ya procesado “parezca nuevo”. Segundo, el periodo de pre-staking tiene una falla en la validación del quorum: con el bitmap de firmas vacío y una agregación BLS firma compuesta toda en ceros basta para pasar la comprobación de umbral. Al superponerse ambos fallos, el atacante logró alterar la raíz de estado en bloques vacíos con cero gas.
Implicaciones para el mercado:
1. La oferta circulante de ONE fue inflada artificialmente en el orden de miles de millones de monedas. Incluso si el rollback tiene éxito (el equipo ya tiene preparado un PR), reconstruir la confianza del mercado en la seguridad de la cadena Harmony tomará tiempo. Después del robo del puente de Harmony en 2022 (US$100 millones), el ecosistema no se recuperó. Esta vez se trata de una vulnerabilidad en la capa subyacente de consenso, por lo que la gravedad es mayor.
2. Aumentará la presión de auditoría para toda la arquitectura de interoperabilidad entre cadenas / fragmentación. Cualquier L1 que use un mecanismo similar de mensajería entre fragmentos debe revisar de nuevo la ruta de validación de recibos. Este tipo de “vulnerabilidades dormidas” (presentes en código legado de antes del pre-fork) es lo más difícil de mitigar: se activan solo después de años de funcionamiento en la red principal.
Juicio de dirección: aléjese a corto plazo de ONE y de tokens relacionados con el ecosistema de Harmony, y espere la confirmación del rollback y los informes de auditoría de terceros. Más ampliamente, esto es un recordatorio: la seguridad de una Layer 1 no es algo garantizado para siempre; la deuda técnica en rutas históricas del código puede convertirse en un vector de ataque de día cero en cualquier momento. Si las posiciones están concentradas en un puñado de usuarios y pocas cadenas, vale la pena reevaluar el riesgo de diversificación.
#BTC #Crypto #HarmonyONE #链上安全
Línea de tiempo del incidente: desde las 05:25 UTC del 12 de agosto, el atacante aprovechó una falla en la lógica de validación de recibos entre fragmentos para acuñar aproximadamente 3.010.000.100.000 ONE en cuatro carteras mediante transacciones falsificadas (la primera oleada de 4.000 millones de ONE se completó mediante dos créditos de bloques vacíos). El equipo de Harmony desplegó un parche de emergencia v2026.1.1 a las 6:30 UTC; el puente fue pausado y las bolsas colaboraron congelando las direcciones relacionadas.
Las causas técnicas tienen dos capas: primero, el marcador “spent” de los recibos entre fragmentos, antes de un fork específico, solo deriva la clave usando el campo MerkleProof no verificado; el atacante puede modificar estos identificadores para que un recibo ya procesado “parezca nuevo”. Segundo, el periodo de pre-staking tiene una falla en la validación del quorum: con el bitmap de firmas vacío y una agregación BLS firma compuesta toda en ceros basta para pasar la comprobación de umbral. Al superponerse ambos fallos, el atacante logró alterar la raíz de estado en bloques vacíos con cero gas.
Implicaciones para el mercado:
1. La oferta circulante de ONE fue inflada artificialmente en el orden de miles de millones de monedas. Incluso si el rollback tiene éxito (el equipo ya tiene preparado un PR), reconstruir la confianza del mercado en la seguridad de la cadena Harmony tomará tiempo. Después del robo del puente de Harmony en 2022 (US$100 millones), el ecosistema no se recuperó. Esta vez se trata de una vulnerabilidad en la capa subyacente de consenso, por lo que la gravedad es mayor.
2. Aumentará la presión de auditoría para toda la arquitectura de interoperabilidad entre cadenas / fragmentación. Cualquier L1 que use un mecanismo similar de mensajería entre fragmentos debe revisar de nuevo la ruta de validación de recibos. Este tipo de “vulnerabilidades dormidas” (presentes en código legado de antes del pre-fork) es lo más difícil de mitigar: se activan solo después de años de funcionamiento en la red principal.
Juicio de dirección: aléjese a corto plazo de ONE y de tokens relacionados con el ecosistema de Harmony, y espere la confirmación del rollback y los informes de auditoría de terceros. Más ampliamente, esto es un recordatorio: la seguridad de una Layer 1 no es algo garantizado para siempre; la deuda técnica en rutas históricas del código puede convertirse en un vector de ataque de día cero en cualquier momento. Si las posiciones están concentradas en un puñado de usuarios y pocas cadenas, vale la pena reevaluar el riesgo de diversificación.
#BTC #Crypto #HarmonyONE #链上安全