Harmony鏈昨天被打穿了——跨分片收據重放漏洞導致攻擊者憑空鑄造至少30億枚ONE。
事件時間線:8月12日UTC 05:25起,攻擊者利用跨分片收據驗證邏輯中的缺陷,通過僞造交易在四個錢包中累計鑄造約3,010,000,100,000 ONE(首波40億ONE通過兩筆空塊信用完成)。Harmony團隊6:30 UTC部署緊急補丁v2026.1.1,橋已暫停,交易所配合凍結相關地址。
技術根因有兩層:第一,跨分片收據的spent標記在特定fork前僅依賴未經驗證的MerkleProof字段推導key,攻擊者修改這些標識符就能讓已處理的收據"看起來是新的";第二,pre-staking時期的quorum驗證存在缺陷——空簽名位圖配合全零BLS聚合簽名即可通過門限檢查。兩個漏洞疊加,攻擊者在零gas的空塊中完成了狀態根篡改。
這件事的市場含義:
1. ONE的流通量被人爲膨脹了數十億枚級別。即使回滾成功(團隊已準備PR),市場對Harmony鏈安全性的信任重建需要時間。2022年Harmony橋被盜1億美元后生態就沒恢復過來,這次是底層共識層的漏洞,性質更嚴重。
2. 對整個跨鏈/分片架構的審計壓力會上升。任何採用類似跨分片消息傳遞機制的L1都需要重新審視收據驗證路徑。這類"沉睡漏洞"(存在於pre-fork遺留代碼中)是最難防的——它們在主網運行多年後才被觸發。
方向判斷:短期遠離ONE及Harmony生態相關代幣,等待回滾確認和第三方審計報告。更廣泛地說,這是一個提醒——Layer 1的安全性不是一勞永逸的,歷史代碼路徑中的技術債務隨時可能變成零日攻擊面。持倉集中在少數公鏈的用戶,值得重新評估分散風險。
#BTC #Crypto #HarmonyONE #鏈上安全