GlobalCryptoPress.com

Harmony's latest security incident has gone from bad to surreal. What initially looked like an unauthorized mint of about 4 billion ONE has turned into a reconstructed total of roughly 3.01 trillion forged tokens, and the network's chosen fix is equally dramatic: roll the blockchain back to a point before the exploit and throw away everything recorded after it.
Harmony says the forged supply was created through six cross-shard transactions and sent to four attacker-controlled wallets. One wallet alone moved 2.385 trillion ONE through 477 successful transfers in just 106 seconds. At pre-attack prices, that quantity had a notional value measured in billions of dollars, although no attacker could realistically sell trillions of ONE anywhere near the pre-attack market price.
The Original 4 Billion Figure Was Only the Beginning
Harmony first acknowledged the incident on August 12 after researchers spotted unauthorized ONE appearing through empty blocks. The early analysis identified two records that created 1 billion and 3 billion ONE. That 4 billion figure was alarming on its own because it represented a large chunk of the legitimate token supply.
A deeper reconstruction changed the scale completely. Harmony's later incident update said investigators found a flaw in cross-shard receipt verification that allowed valid receipts to be processed more than once.
In plain English, a cross-shard receipt is evidence that something happened on one part of Harmony's sharded network and should be credited on another. If that receipt can be reused, the receiving side can credit value repeatedly without a matching debit happening again on the sending side. That turns a bookkeeping proof into a printing press, which is generally not a feature anyone wants in a monetary system.
Harmony patched the vulnerability on August 12 with Mainnet v2026.1.1 and suspended bridge services while it worked with validators, exchanges and infrastructure providers to contain the damage. The project has said it traced more than 99.9% of the forged ONE pathways to wallets or service clusters. Tracing a path, however, is not the same thing as recovering the money or identifying the person behind the wallet.
Why Harmony Chose a Full Rollback
The team considered less disruptive options. Those included blacklisting wallets, trying to burn forged tokens, selectively replaying legitimate transactions and even migrating ONE to a new token. Harmony concluded that each option created its own problems, especially because forged tokens had already moved through exchanges, decentralized pools, bridges and other wallets.
If an innocent user received ONE that had passed through an attacker-linked pool, a blunt blacklist or burn could punish the wrong person. Selectively restoring transactions sounds cleaner until smart contracts, balances, transaction nonces and dependent transactions no longer line up with the altered history.
Harmony's answer is a fixed rollback window. Its rollback plan keeps Shard 0 at block 92,730,034 and Shard 1 at block 94,978,278, both timestamped August 11 at 23:25:37 UTC. New blocks would then be produced from replacement databases built around those checkpoints.
The cost is real. Harmony says the discarded window contains 141,628 consecutive blocks, 109,126 regular transactions and 315 staking transactions. Those are not all attacker transactions. Legitimate activity after the checkpoint disappears too.
Harmony says about 95.8% of the affected regular transactions were automated activity, much of it associated with decentralized exchange bots. The network also said only 22 of the 109,126 regular transactions were simple native transfers with no obvious dependency in its data. Even those cannot simply be dropped back into the replacement chain with complete confidence because the state around them may have changed.
This Is What Blockchain Finality Looks Like Under Stress
Rollback debates tend to become philosophical very quickly because blockchains market themselves around immutability. In practice, public chains are software systems run by human communities, validators and developers. When the ledger itself has accepted a catastrophic amount of forged supply, every available choice damages something.
Do nothing, and trillions of unauthorized tokens remain part of the ledger. Blacklist aggressively, and innocent holders can get caught in the blast radius. Attempt a surgical reconstruction, and subtle state mismatches can create a second disaster. Roll back the chain, and valid transactions that users reasonably believed were final are erased.
Harmony chose the last option because it believes one audited cutoff applied to everyone creates the lowest risk of another exploit or consensus failure. Whether validators, exchanges, bridges and users can coordinate the restart cleanly is now the practical test.
Harmony Has Been Here Before, but This Attack Is Different
The incident also lands on a network with painful security history. In 2022, Harmony's Horizon bridge lost about $100 million in crypto. The FBI later attributed that theft to North Korea's Lazarus Group. That attack targeted bridge infrastructure. This one is more fundamental because the vulnerability involved the network's own cross-shard verification logic and the creation of native ONE.
There is no public evidence at this point linking the current exploit to Lazarus Group, and it would be irresponsible to imply otherwise. The relevant comparison is technical and reputational: Harmony is once again asking users and counterparties to trust its recovery process after a major security failure.
The patch may have closed the bug, but the harder part is restoring a coherent ledger, reconciling exchange and bridge balances, and convincing users that the replacement history can be treated as final. A blockchain can survive a rollback. Restoring confidence after trillions of tokens appeared from nowhere is the more difficult job. ---------------
Author: Dorian Fenwick Silicon Valley NewsroomBreaking Crypto News
Subscribe to GCP in a reader

ワシントンは仮想通貨業界におなじみのプロダクトアップデートを提供した。デジタル・アセット市場の透明性法（Digital Asset Market Clarity Act）は死んでいないが、発表（開始）日は延期された。米上院は8月の休会前に市場構造の法案について採決しないため、次の本格的な行動のチャンスは9月に持ち越される。
上院多数党院内総務のジョン・トゥーン（John Thune）氏は、8月の採決はないとし、9月に採決される可能性があると述べた。この延期は、より強い倫理ルールの要求、施行（執行）条項、市場の安全策などを含む、当事者間の未解決の意見相違に続くものだ。その結果はトレーダーや企業にとって明快だ。規制の地図は少なくともさらに1か月未完成のままだ。

ビットコインは、金曜日にトレーダーが待ち望んでいたマクロのきっかけを受けて上昇した。米国の雇用統計が軟調で、FRB（連邦準備制度理事会）がどれだけ金融緩和の余地を持つのかという議論を再燃させる内容だった。BTCはBitstampで最高で65,340ドルまで買われ、日中の上昇率は約1.3%となった。7月の非農業部門雇用者数は、経済が約8万人の雇用増を示すのではなく、雇用を23,000人減らしたことを示した。
それは些細な誤差ではなく意味のある見通し違いだ。米労働統計局（BLS）も、5月と6月の雇用についてあわせて103,000人分下方修正している。7月の失業率は4.1%で、前月から大きくは変わらなかったが、より大きなメッセージは明確だった。労働市場は、ここ数カ月前に見えていたのと同じだけFRBに安心できるクッションをもう提供していない、ということだ。給与計算の全面的な発表は、リスク市場が好んで“買い”につなげる種類の曖昧さを、ちょうどそのまま与えた。

長年、Coldcardの背景にある前提は、「デバイスを物理的に手で握っている人でなければ、誰もあなたのビットコインに到達できない」というものでした。しかし今週、その約束が崩れました。攻撃者は静かに、1,082 BTC以上（およそ7,000万ドル相当）を、1時間足らずで1,000を超えるウォレットから持ち去ったのです。不安なのは、その泥棒が単一のデバイスにも触れず、誰もフィッシングせず、PINやパスワードも必要としなかったことです。これらのコインはコールドストレージに置かれ、あらゆるセルフカストディのガイドがあなたに守るよう指示するそのままの方法で保管されていました。にもかかわらず、持ち去られたのです。ハードウェアウォレットを安全性のゴールドスタンダードとして扱う暗号資産の一角にとって、これは本当に厳しい瞬間です。

サムスンは、数億人規模の携帯電話利用者に対し、まもなく搭乗券のすぐそばでデジタル・ドルを扱えるようになると伝えました。さらに、コーヒーのロイヤルティカードの横にデジタル・ドルが表示される形になるとのことです。
7月22日にロンドンで開催された「Galaxy Unpacked」で、同社はSamsung Walletがネイティブなステーブルコイン対応を獲得すると確認し、ドルに連動したトークンを、会計時に人々がすでにスマホをかざすために使っているのと同じアプリに組み込むことになるとしました。ステーブルコインが暗号資産におけるキラーアプリだと数年にわたり主張してきた業界にとって、世界最大級のハードウェアメーカーの一社が公の場でそれに同意するのは大きな出来事です。サムスンは、この機能によって同社のデバイスが、ステーブルコインをネイティブにサポートする最初期の主要スマートフォンブランドの一つになる可能性があるとしています。そして重要なのは、その到達力こそがここでの全てだということです。サムスンは毎年、何千万台という単位でスマホを出荷している企業なので、配布規模は、単独の暗号資産ウォレットが自力で築けることなど到底想像できないほど大きいのです。

暗号資産界で最大手の9社が、まだ存在しないマシンに対してビットコインを守るために1500万ドルを使うことで合意した。7月23日、ブラックロック、コインベース、ストラテジー、フィデリティ・デジタル・アセット、ギャラクシー、ARKインベスト、ブロック、ブロックストリーム、アンカレッジ・デジタルは、ビットコイン・セキュリティ・コンソーシアムを発表した。これは、彼らが大きく賭けてきたネットワークのためにセキュリティ研究とオープンソース開発の資金を拠出する3年間のコミットメントだ。金額は、これら企業の規模からすれば控えめだが、伝わるメッセージは金額以上に大きい。これらは、合わせて数千億ドル規模のビットコインをカストディまたは運用している企業であり、ビットコインを支える暗号技術は、真の脅威が現れる前に改善が必要だと、今まさに公言しているのだ。彼らが常に話題に戻っている脅威、それは量子コンピューティングだ。時期の見通しは曖昧だが、グループは「後になって、待っていた理由を説明するより先に動く方がよい」と判断したのは明らかだ。では、この資金で実際に何が買えるのか。

Allbridgeは2023年に、この“まったく同じ攻撃”が今後同社のプールでは二度と機能しない理由を説明するのに時間を費やしました。日曜の夜、攻撃者はAllbridge CoreのSolana流動性プールからステーブルコイン約165万ドルを引き出しましたが、それは誰も予想していなかったような新しいゼロデイではありませんでした。フラッシュローンによるプール・レシオの操作という種類の攻撃で、2023年5月に同じくAllbridgeのBNB Chainプールを狙い、約57万ドルの被害が出たのと同じ系統です。当時チームはポストモーテムを公開し、損失を受け入れたうえで、以後この攻撃カテゴリ全体を構造的に不可能にするはずのアーキテクチャ変更を約束していました。3年後、その約束は別のチェーンで現実となり、現実が勝ちました。その後プロトコルは、調査のためCoreを停止しています。

結局のところ、多数の数十億ドル規模のブロックチェーンを脅かすのに、国家レベルの予算は必要ありません。必要なのは約3,000ドルと、非常に良い週末です。これは、7月4日に公開されたある開示から得られる、居心地の悪い教訓です。セキュリティ企業Hexensが、2月にAptosで見つけた重大な欠陥を明らかにしました。その不具合は、チェーン上のすべてのスマートコントラクトを動かすエンジンであるMove仮想マシンの内部にあり、Hexensは一次的なシステミック・リスクをおよそ700億ドルと見積もりました。スピードと安全性を売りにするネットワークにとって、そんな数字が自分の名前に結び付くことは、誰も望まないはずです。朗報は、これから触れるとおり、資金は一度も失われなかったことです。悪い知らせは、それを変えるのにどれほど少ないことが必要だったか、という点です。

新たな調査で、あらゆる暗号資産ユーザーが心配すべきある事実の数字が明らかになりました。脅威インテリジェンス企業のInfobloxは、同じ中国のオープンソースのアプリ開発フレームワーク「DCloud Uni-App」で作られた独自の第2レベルドメインを236,493件特定しました。そのうち大部分は、暗号資産ウォレットを抜き取り、偽の取引所を動かすという目的のために存在しています。フレームワーク自体は完全に正当で、世界中の実在の開発者が単一のコードベースからiOS、Android、Web向けのアプリを配信するために使用しています。ところが、その便利さこそが詐欺集団にとって魅力なのです。詐欺側は、数週間ではなく「数日」で見栄えのよい、モバイルに最適化された偽の取引所、あるいは偽の投資ダッシュボードを用意でき、しかも土台となるコードは千もの実在スタートアップと区別がつかないように見えます。

8日間です。それだけが、リップルと、競合の多くがまさに突っ込もうとしている規制の壁との間に存在していました。決済企業は火曜日、ルクセンブルクの金融規制当局である金融セクター監視委員会（Commission de Surveillance du Secteur Financier）が、EUの暗号資産（Markets in Crypto Assets）枠組みに基づく暗号資産サービス提供者ライセンスについて、同社に対して事前の「グリーン・ライト・レター」を発行したと発表しました。タイミングは偶然ではありません。7月1日にMiCAの最終期限（ハードデッドライン）が発効し、認可を得ていないまま欧州で事業を続ける暗号企業は、技術的には突然、法律違反となります。リップルは1週間の余裕をもってこのハードルをクリアしました。業界のトラッカーによる最新の集計では、同じことを言える企業はおよそ210社にとどまります。

Pump.funは、ソラナのミームコイン騒動を2年間支えてきた“原動力”だが、最新の実験はそれとは少し違うものになっている。今月初めに同プラットフォームは「GO」と呼ばれる機能を公開し、製品説明というより挑発に近いスローガンで動いている。「誰にでも、何でもさせるために支払う。」接続されたウォレットとXアカウントを持つ誰でも、賞金（バウンティ）を投稿し、暗号資産をエスクローにロックして、購入者が思い描いた“どんな作業”でもこなしてそれを取りに来るような見知らぬ人同士の競争を走らせられる。ライブ開始から数時間で、モデレーターがオフスイッチに手を伸ばしてしまいそうな種類の出品でボードが埋まり、それ以降プラットフォームはずっとダメージコントロールに追われている。さらに現在、米国の現職州知事が、公にこれを閉鎖するための立法を求めている。

マーク・ザッカーバーグは、Metaの社内の小規模なグループに対し、予測市場アプリの構築を始めるよう伝えたと報じられており、その内容は、エンジンを差し替えたような形でPolymarketに非常によく似ているようです。『ニューヨーク・タイムズ』は月曜日、ザッカーバーグがMeta内のチームに対し「アリーナ（Arena）」と社内で呼ばれているスタンドアロンのスマートフォンアプリの開発を指示したと報じました。ユーザーは、スポーツの試合の結果、選挙、マーケットの動き、ポップカルチャーの出来事など、意見を賭ける価値があるあらゆる事柄について、その結果を見極める形で参加できるようになるとのことです。なお当面は、ユーザーが実際にお金を賭けることはありません。Arenaは、同報道が「ビデオゲームに近い」と比較するポイント制を中心に作られており、PolymarketやKalshiが実際に億ドル規模のビジネスへと成長した仕組みとは大きく異なる点です。Metaはのちに実弾（リアルマネー）の取引を追加する可能性を排除していないとしています。この種の文言は、たいていは「将来的に実弾の取引を追加するつもりだ」という意味合いを持ちます。同アプリは、Facebook、Instagram、WhatsApp、Messengerの外側で、独自の隔離された環境（サイロ）として展開される予定です。

猟師は獲物となり、事件が起きたとき猟師は盗んだETHの大金を手にしていた。JaredFromSubway.eth――イーサリアム上で最も活発で、最も憎まれているMEV、いわゆる「フロントランニング」ボット。これは、差し込める余地があるのを見つけて、成立間近の取引の前に割り込むことで動く。より高いガス代を支払って割り込み、、本来あなたのもとに行くはずのトークンを買い占め、そしてあなたの注文はより高値のトークンで埋められるよう強制される。さらに、コインの代金を払い過ぎたところで、ボットはすぐに新しくより高い価格で買った分を売り払う。1回ごとの獲得額は小さいことが多いが、それを毎時何百もの取引に掛け算すると、この行為は毎年、トレーダーに数百万ドル規模の追加コストをもたらす。だが、週末にはフロントランナー側が攻撃者によって痛手を負った。攻撃者は、ボットが追いかける種類の利益機会そっくりに見せる、精巧なハニーポットを仕掛けていた。セキュリティ企業Blockaidが土曜にこの脆弱性（エクスプロイト）を明らかにし、オンチェーン上の痕跡は暗号資産コミュニティ全体をにやりとさせるような物語を語っている。ボットは、自分が作られた通りのことをした。攻撃者は、ただそれを間違ったコントラクト上で行わせるようにしただけだ。Uniswapでスワップしようとしてサンドイッチ攻撃で数セントを失ったことがある人にとっては、今年いちばん気持ちいいニュースかもしれない。

中央銀行が自らの宿題を公然と批判することは通常ありませんが、イングランド銀行は月曜日にまさにそれをやりました。この銀行は、誰もがポンドのステーブルコインを保有したいなら、個人あたり20,000ポンドに制限されると、ほぼ一年間にわたって皆に伝えてきました。企業には1,000万ポンドの上限が設定されていました。その理由は、あまりにも多くの預金が高街銀行からデジタルトークンに流出すると、住宅ローンやオーバードラフトを安く保つための融資の仕組みに穴が開く可能性があるというものでした。これは2025年11月の相談での公式な見解で、業界はその言葉を全て嫌っていました。コインベース、サークル、そしてステーブルコインの野望を持つすべての英国ベースのフィンテックは、過去6ヶ月間、その上限が事業全体を立ち上げる前に海外に押しやることになると、大声で説明してきました。

誰もが $4.67 million が Axelar から Secret Network のブリッジへ流出していたことに気づくまで、丸7日かかった。流出は6月10日に起きたが、6月17になって通常のクロスチェーン転送が失敗し、誰かが Axelar 側のエスクロー残高を確認しに行くまで、双方は誰も気づかなかった。口座は空だった。Secret Network は、コントラクトの状態やトランザクションの詳細を公開の場から遮る「デフォルトでプライバシー」設計を基盤としているため、通常はセキュリティ研究者に数分で察知させるオンチェーン上の痕跡が、単に見えなかった。その結果、攻撃者は資金をこっそり移動させるための1週間まるごとの猶予を得た。以後、Axelar の緊急委員会は Secret および Secret-SNIP の接続を無効化したが、金はすでに消えている。

Hsiao-Wei WangがEthereum Foundationの共同執行ディレクターを辞任したばかりで、これで4ヶ月で2人目の共同ディレクターが退任したことになる。6月18日のWangの退任は、半年以内に組織から去った約10人目のシニアメンバーとして、別のあまり好意的ではないリストに彼女を載せることとなった。彼女は、Xに感謝の意を表し、Foundationでの約10年間への感謝を述べ、"より家の近くで過ごす時間を増やす"といった思慮深い投稿をすることで、丁寧に辞めた。タイミングはトーンよりもずっと重要だ。彼女が去ったFoundationは、実際にEthereumの基盤を維持している人々のための3000万ドルの年間資金不足に直面しており、その警告は数日前に彼ら自身の元貢献者の一人から発せられた。

暗号資産の「ガバナンス」トークンに対する最大の不満は、いつも同じでした。保有者は立派な投票権を得るが、それ以外はあまり何もない。Jito Labsは、そのやり方をひっくり返すことにしたのです。Solana最大のリキッドステーキング・プロトコルの背後にいるチームが、JTXという新しい自己管理型の取引プラットフォームを7月にローンチすると発表し、DeFiのどこよりも攻撃的な価値還元メカニズムの一つに結び付けました。具体的には、JTXの売上（収益）の80%が、JTOトークンのオープンマーケットでの買い戻しに流れるというものです。トレーダーはすぐに気づきました。JTOは6月中旬のたった一週間でおよそ26%上昇し、今回のラリーは単なる話題（ハイプ）よりも「数学」の結果に近いのです。JTXがJitoの想定どおりにスケールすれば、取引手数料の1ドルごとがJTOの小さな買い注文になります。プロトコルが保持する残りの20%は、継続的なプラットフォーム開発に回されます。

ワイオミングは、アメリカの他の州が州としてできるとは思わなかったようなものを作り上げており、その後アメリカ全体が、それが良いアイデアだったのか、かなり悪いものだったのかを今まさに議論しています。フロンティア・ステーブル・トークン（ティッカーFRNT）は、ワイオミングが米国で初めて自国のステーブルコインを発行した1月から、ひっそりと運用されてきました。これは米ドルと短期の米国債で完全に裏付けられており、法定の2%の過剰担保バッファを備え、7つのブロックチェーン上で稼働していて、準備金側はフランクリン・テンプルトンが管理しています。技術面のきれいな指標で見れば、現時点で流通しているドル連動型トークンの中でもかなり良く設計された部類に入ります。面白いのはその周りで起きていることです。というのも、ワイオミングは静かな実験であるはずだったのに、今では全国的なテストケースとして扱われているからです。報道によれば、ほぼ10数の州都にいる人々が、近くで注意深く状況を見守っており、他州でも自分たちのものを検討しているとのことです。

FBIは、すべての仮想通貨投資家に電話をかけて両親に連絡してほしい内容の警告を出したところだ。
当局は、豚の虐殺（ピッグ・バッチャリング）をめぐる新たな手口として、長年続いているロマンス詐欺兼投資詐欺で、すでに数十億ドルが米国の家計から奪われている状況で、急激な増加を見せていると警告している。このバージョンでは、詐欺師は被害者に送金やオンラインでの仮想通貨購入を説得して終わりではない。彼らはそのまま“玄関先”まで現金を取りに来る。被害者が、銀行口座が侵害されたので、見知らぬ相手に現金を直接渡すほうが安全だと考えるように説得したうえで実行されることも多い。当局によると、配達員（コーリエ）は、被害者に暗記するよう指示した「パスワード」「コード」、あるいは特定のドル紙幣のシリアル番号を持って現れるという。現金が家の外に出てしまえば、それは二度と戻らない。

スポーツ史上初めて、UFCのファイターたちがホワイトハウスのサウス・ローンを、同大統領自身の家族企業に紐づけられたステーブルコイン建てのボーナス小切手を携えて後にした。UFC Freedom 250は6月14日に開催され、同日は米国が250歳の誕生日を迎えた日であり、ドナルド・トランプ大統領が80歳になった日でもある。プロモーションは大統領官邸の芝生で大会を行い、UFCが政府敷地内でファイトナイトを開催したのは今回が初めてだった。あの光景だけでも何週間も見出しを飾っていたはずだが、さらに注目を集めているのは、試合後のボーナス・プールがどのように組み立てられたかという点だ。現職の大統領の家族トークンと、連邦が所有する背景を組み合わせたUFCの支払いはこれまで一度もなく、その組み合わせが、立法担当者や倫理部局、そしてクリプトTwitterを同時にざわつかせている。