GlobalCryptoPress.com

Harmony's latest security incident has gone from bad to surreal. What initially looked like an unauthorized mint of about 4 billion ONE has turned into a reconstructed total of roughly 3.01 trillion forged tokens, and the network's chosen fix is equally dramatic: roll the blockchain back to a point before the exploit and throw away everything recorded after it.
Harmony says the forged supply was created through six cross-shard transactions and sent to four attacker-controlled wallets. One wallet alone moved 2.385 trillion ONE through 477 successful transfers in just 106 seconds. At pre-attack prices, that quantity had a notional value measured in billions of dollars, although no attacker could realistically sell trillions of ONE anywhere near the pre-attack market price.
The Original 4 Billion Figure Was Only the Beginning
Harmony first acknowledged the incident on August 12 after researchers spotted unauthorized ONE appearing through empty blocks. The early analysis identified two records that created 1 billion and 3 billion ONE. That 4 billion figure was alarming on its own because it represented a large chunk of the legitimate token supply.
A deeper reconstruction changed the scale completely. Harmony's later incident update said investigators found a flaw in cross-shard receipt verification that allowed valid receipts to be processed more than once.
In plain English, a cross-shard receipt is evidence that something happened on one part of Harmony's sharded network and should be credited on another. If that receipt can be reused, the receiving side can credit value repeatedly without a matching debit happening again on the sending side. That turns a bookkeeping proof into a printing press, which is generally not a feature anyone wants in a monetary system.
Harmony patched the vulnerability on August 12 with Mainnet v2026.1.1 and suspended bridge services while it worked with validators, exchanges and infrastructure providers to contain the damage. The project has said it traced more than 99.9% of the forged ONE pathways to wallets or service clusters. Tracing a path, however, is not the same thing as recovering the money or identifying the person behind the wallet.
Why Harmony Chose a Full Rollback
The team considered less disruptive options. Those included blacklisting wallets, trying to burn forged tokens, selectively replaying legitimate transactions and even migrating ONE to a new token. Harmony concluded that each option created its own problems, especially because forged tokens had already moved through exchanges, decentralized pools, bridges and other wallets.
If an innocent user received ONE that had passed through an attacker-linked pool, a blunt blacklist or burn could punish the wrong person. Selectively restoring transactions sounds cleaner until smart contracts, balances, transaction nonces and dependent transactions no longer line up with the altered history.
Harmony's answer is a fixed rollback window. Its rollback plan keeps Shard 0 at block 92,730,034 and Shard 1 at block 94,978,278, both timestamped August 11 at 23:25:37 UTC. New blocks would then be produced from replacement databases built around those checkpoints.
The cost is real. Harmony says the discarded window contains 141,628 consecutive blocks, 109,126 regular transactions and 315 staking transactions. Those are not all attacker transactions. Legitimate activity after the checkpoint disappears too.
Harmony says about 95.8% of the affected regular transactions were automated activity, much of it associated with decentralized exchange bots. The network also said only 22 of the 109,126 regular transactions were simple native transfers with no obvious dependency in its data. Even those cannot simply be dropped back into the replacement chain with complete confidence because the state around them may have changed.
This Is What Blockchain Finality Looks Like Under Stress
Rollback debates tend to become philosophical very quickly because blockchains market themselves around immutability. In practice, public chains are software systems run by human communities, validators and developers. When the ledger itself has accepted a catastrophic amount of forged supply, every available choice damages something.
Do nothing, and trillions of unauthorized tokens remain part of the ledger. Blacklist aggressively, and innocent holders can get caught in the blast radius. Attempt a surgical reconstruction, and subtle state mismatches can create a second disaster. Roll back the chain, and valid transactions that users reasonably believed were final are erased.
Harmony chose the last option because it believes one audited cutoff applied to everyone creates the lowest risk of another exploit or consensus failure. Whether validators, exchanges, bridges and users can coordinate the restart cleanly is now the practical test.
Harmony Has Been Here Before, but This Attack Is Different
The incident also lands on a network with painful security history. In 2022, Harmony's Horizon bridge lost about $100 million in crypto. The FBI later attributed that theft to North Korea's Lazarus Group. That attack targeted bridge infrastructure. This one is more fundamental because the vulnerability involved the network's own cross-shard verification logic and the creation of native ONE.
There is no public evidence at this point linking the current exploit to Lazarus Group, and it would be irresponsible to imply otherwise. The relevant comparison is technical and reputational: Harmony is once again asking users and counterparties to trust its recovery process after a major security failure.
The patch may have closed the bug, but the harder part is restoring a coherent ledger, reconciling exchange and bridge balances, and convincing users that the replacement history can be treated as final. A blockchain can survive a rollback. Restoring confidence after trillions of tokens appeared from nowhere is the more difficult job. ---------------
Author: Dorian Fenwick Silicon Valley NewsroomBreaking Crypto News
Subscribe to GCP in a reader

Биткоин начал неделю с умеренного отскока, но деньги, проходящие через американские крипто-ETF, передают менее приятный сигнал. Спотовые фонды на биткоин за торговую неделю с 10 по 14 августа зафиксировали примерно $390 млн чистых оттоков, развернув сильные притоки прошлой недели. В то же время Solana-ETF привлекли свежие средства и показали самый сильный недельный приток с середины мая.
Этот разрыв интереснее, чем очередной день, когда биткоин поднимается или опускается на процент-два. Потоки ETF стали одним из самых ясных публичных индикаторов спроса со стороны инвесторов, которые хотят получить доступ к криптоактивам через традиционные брокерские счета, пенсионные аккаунты и институциональные портфели. Они не рассказывают нам, что делает каждый крупный инвестор, но когда сотни миллионов долларов меняют направление на протяжении недели, стоит обратить на это внимание.

Вашингтон выпустил для криптоиндустрии знакомое обновление продукта: Закон о прозрачности рынка цифровых активов не похоронен, но дата запуска сдвинулась. Сенат США не будет голосовать по законопроекту о структуре рынка до августовских каникул, перенося следующую реальную возможность действий на сентябрь.
Лидер большинства в Сенате Джон Тьюн заявил, что в августе голосования не будет, при этом возможное голосование в сентябре. Задержка связана с неурегулированными разногласиями между партиями, включая требования к более строгим этическим правилам, положения об обеспечении соблюдения и меры по защите рынка. Итог прост для трейдеров и компаний: регуляторная карта остается незавершенной как минимум еще на месяц.

Биткоин получил макро-катализатор, которого трейдеры ждали в пятницу: отчет по рынку труда в США оказался достаточно мягким, чтобы возобновить спор о том, сколько пространства у Федеральной резервной системы есть для смягчения политики. BTC поднялся до $65 340 на Bitstamp, прибавив примерно 1,3% за день, после того как июльские данные по числу рабочих мест вне сельского хозяйства показали, что экономика потеряла 23 000 рабочих мест вместо того, чтобы добавить около 80 000, на что рассчитывали экономисты.
Это существенное отклонение, а не «погрешность округления». Бюро статистики труда также пересмотрело майские и июньские данные по занятости в сторону снижения на совокупные 103 000 рабочих мест. Безработица в июле составила 4,1% — почти без изменений по сравнению с предыдущим месяцем, но общий посыл был ясен: рынок труда больше не дает Федрезерву той же комфортной подушки, которая, казалось, была у него несколько месяцев назад. Полный релиз по зарплатным ведомостям дал рынкам риска именно ту неопределенность, которую они любят превращать в покупку.

Вот уже много лет общий тезис о Coldcard сводился к тому, что никто не сможет получить доступ к вашему биткоину, если только физически не держит устройство в руках. На этой неделе обещание рассыпалось: злоумышленник тихо вывел около 1 082 BTC — стоимостью примерно 70 миллионов долларов — из более чем тысячи кошельков всего за час. Самое тревожное в том, что вор не прикоснулся ни к одному устройству, никого не фишинговал и не нуждался ни в PIN-коде, ни в пароле. Эти монеты просто лежали в холодном хранилище — офлайн — ровно так, как вам велят хранить их в любых гайдах по самостоятельному контролю. И всё равно их унесли. Для той части криптоиндустрии, которая считает аппаратные кошельки эталоном безопасности, это действительно тяжелый момент.

Samsung только что сообщил сотням миллионов владельцев телефонов, что в скором времени они смогут держать цифровые доллары прямо рядом с посадочными талонами и карточками лояльности за кофе.
На Galaxy Unpacked в Лондоне 22 июля компания подтвердила, что Samsung Wallet получит нативную поддержку стейблкоинов, то есть токены, привязанные к доллару, окажутся в том же приложении, которое люди уже используют, чтобы прикладывать телефон при оплате на кассе. Для отрасли, которая годами доказывала, что стейблкоины — это «убойное приложение» для криптоиндустрии, согласие одного из крупнейших в мире производителей оборудования звучит как большое событие. Samsung говорит, что эта функция сделает ее одним из первых крупных брендов смартфонов, поддерживающих стейблкоины нативно на своих устройствах, и что именно это охват — главная история. Это компания, которая каждый год отправляет в мир десятки сотен миллионов телефонов, так что потенциальное распространение многократно превосходит то, о чем мог бы мечтать любой автономный криптокошелек.

Девять крупнейших имен в криптовалюте только что договорились потратить 15 миллионов долларов на защиту Bitcoin от машины, которой еще не существует. 23 июля BlackRock, Coinbase, Strategy, Fidelity Digital Assets, Galaxy, ARK Invest, Block, Blockstream и Anchorage Digital объявили о создании Bitcoin Security Consortium — трехлетнем обязательстве финансировать исследования в области безопасности и разработку с открытым исходным кодом для сети, на которую все они сделали крупные ставки. Эта сумма скромна по меркам каждой из этих компаний в отдельности, но посыл звучит громче самих денег. Это организации, которые вместе хранят или управляют сотнями миллиардов долларов в Bitcoin, и теперь они вслух заявляют, что криптография, которая все это скрепляет, требует доработки, прежде чем появится реальная угроза. Такая угроза, на которую все снова и снова возвращаются, — квантовые вычисления. Сроки туманны, но группа явно решила, что лучше действовать заранее, чем потом объяснять, почему она ждала. На что именно пойдут эти деньги

Allbridge потратила 2023 год на объяснения того, почему именно эта атака больше никогда не сможет сработать на их пулах. В воскресенье вечером злоумышленник вывел из пула ликвидности Allbridge Core в сети Solana примерно $1,65 миллиона в стейблкоинах, и это был не какой-то новый нулевой день, которого никто не ожидал. Это была манипуляция соотношением цены пула с помощью флэш-кредита — тот же класс атаки, который в мае 2023 года ударил по пулам Allbridge в сети BNB Chain примерно на $570 000. Тогда команда опубликовала постмортем, приняла удар и взяла обязательство провести архитектурные изменения, которые должны были сделать целую категорию подобных атак структурно невозможной в будущем. Спустя три года это обещание столкнулось с реальностью на другой сети — и реальность победила. С тех пор протокол приостановил работу Core, пока расследует инцидент.

Оказывается, вам не нужна бюджетоёмкая государственная структура, чтобы угрожать блокчейну с капитализацией в несколько миллиардов долларов. Достаточно примерно $3,000 и очень удачных выходных. Это неприятный вывод, к которому приводит раскрытие, ставшее публичным 4 июля, когда компания по кибербезопасности Hexens сообщила о критической уязвимости, которую обнаружила в Aptos ещё в феврале. Ошибка находилась внутри виртуальной машины Move — движка, который выполняет каждый смарт-контракт в сети. Её серьёзность была такова, что Hexens оценил риск системного уровня первого порядка примерно в $70 миллиардов. Для сети, которая позиционирует себя по скорости и безопасности, эта цифра — именно то, к чему никто не хочет, чтобы её имя было привязано. Хорошая новость, до которой мы ещё дойдём, заключается в том, что никогда не было потеряно никаких средств. Плохая новость в том, насколько мало нужно было, чтобы всё могло закончиться иначе.

Новое расследование только что поставило число на одну вещь, о которой каждый пользователь криптовалют должен волноваться. Тинтель-­компания Infoblox выявила 236,493 различных домена второго уровня, все из которых созданы на базе одного и того же китайского open-source-фреймворка для приложений — DCloud Uni-App — и большая часть из них существует для одной цели: выкачивать криптокошельки и запускать фальшивые биржи. Сам фреймворк вполне легитимен: его используют реальные разработчики по всему миру, чтобы выпускать приложения для iOS, Android и веба из одного-единственного кода. Именно эта удобная возможность делает его таким привлекательным для мошеннических групп. Они получают отполированную, адаптированную под мобильные устройства фальшивую биржу или фейковую инвестиционную панель всего за дни, а не за месяцы, и лежащий в основе код выглядит неотличимо от тысячи реальных стартапов.

Восемь дней. Вот все, что стояло между Ripple и регуляторной «стеной», в которую в ближайшее время вот-вот врежется большинство ее конкурентов. Платежная компания объявила во вторник, что финансовый регулятор Люксембурга, Commission de Surveillance du Secteur Financier, выдал ей предварительное «Green Light Letter» для лицензии поставщика услуг с криптоактивами в рамках европейской нормативной базы Markets in Crypto Assets (MiCA). Время выбрано не случайно. 1 июля вступает в силу жесткий дедлайн MiCA, и любой криптопроект, который продолжает работать в Европе без разрешения, внезапно, технически, оказывается нарушающим закон. Ripple прошла этот барьер с запасом в неделю. По последним данным отраслевых трекеров, только около 210 фирм могут сказать то же самое.

Pump.fun уже два года выступает в роли машинного отделения для соланинской мемкоин-истерии, но его latest experiment — кое-что другое. На днях платформа запустила функцию под названием "GO", и она работает на слогане, который звучит скорее как вызов, чем как описание продукта: "Pay ANYONE to do ANYTHING." Любой, у кого есть подключённый кошелёк и аккаунт X, может разместить баунти, зафиксировать крипто в условном депонировании (эскроу) и дать незнакомцам соревноваться за право забрать его, выполняя любое задание, которое заказчик придумал. В течение нескольких часов после запуска доска заполнилась теми видами объявлений, от которых модераторы тянутся к выключателю, и с тех пор платформа постоянно занимается устранением последствий. Теперь действующий губернатор США публично призывает принять законодательные меры, чтобы закрыть её.

Сообщается, что Марк Цукерберг рассказал небольшой группе внутри Meta о том, чтобы начать разработку приложения для прогнозных рынков, и по звучанию это очень похоже на Polymarket, только с заменённым движком. The New York Times рассказала об этом в понедельник: издание утверждает, что Цукерберг поручил внутренней команде Meta разработать отдельное смартфонное приложение, которое внутри компании называют «Arena». Оно позволит пользователям высказываться о результатах спортивных событий, выборов, движениях на рынках, культурных моментах и обо всём остальном, что может быть поводом поставить на своё мнение. Пока что пользователи не будут делать ставки деньгами. Arena создаётся на основе системы очков, которую в материале сравнивают с видеоигрой — это существенное отличие от того, как Polymarket и Kalshi превратились в бизнесы стоимостью в миллиарды долларов. Meta не исключает добавления торговли с реальными деньгами позже; формулировка такого рода обычно означает, что реальные денежные сделки, скорее всего, добавят позже. Приложение будет существовать отдельно от Facebook, Instagram, WhatsApp и Messenger — в собственном «сегменте».

Охотник стал добычей, и охотник держал состояние в украденном ETH, когда это произошло. JaredFromSubway.eth, самый активный и самый ненавидимый бот MEV или 'фронт-раннер' на Ethereum - он работает, обнаруживая места, где может втиснуться впереди ожидаемой сделки, обгоняя остальных, платя более высокие газовые сборы, покупая токены, которые иначе должны были бы достаться вам, в результате чего ваш ордер заполняется токенами по более высокой цене. Затем, как только вы переплатите за свои монеты, он немедленно продаст те, которые они купили, по новой более высокой цене. Хотя сумма, заработанная каждый раз, часто мала, умножьте это на сотни транзакций каждый час, и эта практика добавляет миллионы дополнительных затрат трейдерам каждый год. Но именно фронт-раннеры пострадали на выходных от злоумышленника, который построил хитроумный хани-пот, разработанный так, чтобы выглядеть точно как тот тип возможности для получения прибыли, за которой бот запрограммирован охотиться. Безопасная компания Blockaid раскрыла этот эксплойт в субботу, и след на блокчейне рассказывает историю, которая заставила всю крипто-сообщество улыбаться от уха до уха. Бот сделал то, для чего он был создан. Злоумышленник просто убедился, что он это сделал на неправильных контрактах. Для всех, кто когда-либо терял несколько центов из-за сэндвич-атаки, пытаясь обменять на Uniswap, это может быть самая приятная новость года.

Центральные банки обычно не любят публично критиковать свои собственные решения, но Банк Англии сделал именно это в понедельник. Банк потратил большую часть года, рассказывая всем, что если вы хотите держать стейблкойн в фунтах, то вам будет установлен лимит в 20,000 фунтов на человека. У бизнеса был свой потолок в 10 миллионов фунтов. Аргументация заключалась в том, что если слишком много депозитов уйдет из обычных банков в цифровые токены, то финансовая система, обеспечивающая дешевые ипотечные кредиты и овердрафты, может начать давать сбои. Это была официальная позиция в консультации ноября 2025 года, и индустрия ненавидела каждое слово. Coinbase, Circle и каждая финтех-компания в Великобритании с амбициями по созданию стейблкойнов провели последние шесть месяцев, громко объясняя, что эти лимиты заставят весь бизнес уехать за границу еще до его запуска.

Прошло целых семь дней, прежде чем кто-либо заметил, что из моста Axelar в Secret Network исчезло $4.67 миллиона. Утечка произошла 10 июня, и никто с обеих сторон не заметил этого до 17 июня, когда неудачный рутинный кросс-чейн перевод заставил кого-то проверить баланс эскроу на стороне Axelar. Счет был пуст. Поскольку Secret Network построена с учетом конфиденциальности по умолчанию, где состояние контрактов и детали транзакций скрыты от публичного просмотра, следы на блокчейне, которые обычно подсказывают исследователям безопасности в течение нескольких минут, просто были невидимы. Это дало злоумышленнику целую неделю, чтобы спокойно переместить средства. Чрезвычайный комитет Axelar с тех пор отключил соединения Secret и Secret-SNIP, но деньги уже пропали.

Hsiao-Wei Wang только что вышла в отставку с поста соправляющего директора Фонда Эфириума, и это делает её второй соправляющей, покинувшей организацию за четыре месяца. Уход Ванга 18 июня также ставит её в менее лестный список, как примерно десятого высокопрофильного участника, покинувшего организацию менее чем за полгода. Она сделала это вежливо, с вдумчивым постом на X, выразив благодарность за почти десятилетие внутри Фонда и планы "провести больше времени рядом с домом". Тайминг здесь играет куда более значимую роль, чем тональность. Фонд, который она только что покинула, сталкивается с дефицитом финансирования в $30 миллионов ежегодно для людей, которые действительно поддерживают базовый уровень Эфириума, и сигнал тревоги по этому поводу пришёл от одного из её бывших участников всего за несколько дней до этого.

Основная проблема с токенами "управления" в крипте всегда была одной и той же: держатели получают классные права голоса и не так уж много другого. Jito Labs только что решили изменить эту ситуацию. Команда, стоящая за крупнейшим протоколом ликвидного стекинга на Solana, анонсировала JTX, новую платформу для торговли с самосохранением, которая стартует в июле, и связала её с одним из самых агрессивных механизмов накопления ценности в DeFi: 80% всех доходов JTX будет направлено на выкуп токенов JTO на открытом рынке. Трейдеры быстро это заметили. JTO подскочил примерно на 26% за одну неделю в середине июня, и этот рост больше связан с математикой, чем с хайпом. Если JTX будет масштабироваться так, как думает Jito, каждый доллар торговых сборов становится небольшим ордером на покупку JTO. 20%, которые протокол удерживает, идут на дальнейшую разработку платформы.

Вайоминг построил нечто, о чем остальная Америка и не думала, что штат сможет создать, и теперь вся страна спорит, была ли это отличная идея или очень плохая. Frontier Stable Token, тикер FRNT, тихо работает с января, когда Вайоминг стал первым штатом США, выпустившим собственный стейблкоин. Он полностью обеспечен долларами США и краткосрочными казначейскими облигациями, имеет 2% статутную подушку по переобеспечению, функционирует на семи блокчейнах и управляется на стороне резервов компанией Franklin Templeton. По любым чистым техническим критериям, это один из лучших долларовых токенов, находящихся в обращении прямо сейчас. Интересная часть заключается в том, что происходит вокруг него, потому что Вайоминг должен был стать тихим экспериментом, а теперь его рассматривают как национальный тестовый случай. Люди в примерно дюжине других столиц штатов, по сообщениям, внимательно следят за происходящим.

ФБР только что выпустила предупреждение, которое должно заставить каждого криптоинвестора поднять трубку и позвонить родителям.
Бюро наблюдает резкий рост новой вариации на тему "свинцовых" схем, долгосрочного мошенничества с романтическим и инвестиционным подтекстом, которое уже выкачало миллиарды из американских кошельков. В этой версии мошенники не останавливаются на том, чтобы убедить жертву перевести деньги или купить крипту онлайн. Они приносят наличные прямо к двери, часто после того, как убедят жертву, что их банковский счет был скомпрометирован, и что передача наличных незнакомцу является более безопасным шагом. Бюро сообщает, что курьеры приходят с "паролем", "кодом" или в некоторых случаях серийным номером конкретной купюры, который жертва была instruирована запомнить. Как только наличные покидают дом, их больше нет.