Blockchain Layer-1 Harmony telah mengonfirmasi bahwa mereka dieksploitasi setelah seorang penyerang mencetak sekitar 4 miliar token ONE tanpa otorisasi, menyebabkan nilai token tersebut turun 37% menjadi sekitar $0.00077, berdasarkan data CoinGecko.

Analis on-chain Juiceberg mengindikasikan pencetakan token tersebut pada Rabu pagi, menilainya mendekati 4 miliar token, atau sekitar 26% dari pasokan, dan menyatakan bahwa token-token tersebut dibuat melalui blok kosong. Sekitar 2,8 miliar disalurkan ke bursa seiring dengan penurunan harga.

Dalam cuitan lanjutan, analis tersebut mengatakan bahwa penyerang memiliki sekitar 115 juta token ONE tersisa untuk dijual secara on-chain, sekitar 2,9% dari total yang dicetak. "Mayoritas besar (~97%) sudah ada di bursa," tulis Juiceberg, dan telah dijual atau berada di dompet deposit.

Harmony menanggapi dalam cuitan bahwa mereka "bekerja sama dengan tim kami dan bursa yang sesuai untuk menghentikan dan membekukan dana," menambahkan bahwa mereka sedang menyiapkan patch dan mempertimbangkan opsi rollback. Dalam postingan kedua, mereka menyebutkan empat dompet, masing-masing terdaftar dalam format Harmony dan hex, dan meminta bursa untuk memblokir apa pun yang terlacak ke dompet tersebut.

Hanya lebih dari dua jam setelah pernyataan pertama itu, Harmony menghentikan bridge-nya, kemudian merilis patch semenit kemudian, memberitahu validator untuk memperbarui ke build yang disebutnya mencegah pencetakan lebih lanjut. Mengatasi token yang sudah dibuat akan memerlukan pembaruan lain, katanya. Lima jam telah berlalu sejak postingan pertama Juiceberg.

Proyek ini belum mengungkapkan kerentanan, mengonfirmasi berapa banyak token yang dibuat, atau berapa banyak yang mencapai bursa. Keanehan yang dicatat Juiceberg adalah bahwa endpoint totalSupply Harmony tidak mencerminkan token baru, dan pelacak harga masih mencantumkan pasokan beredar sekitar 14,87 miliar.

Mengembalikan rantai (Rollback)

Sebuah rollback akan mengembalikan jaringan ke keadaan sebelum eksploitasi dan melanjutkan dari sana, menghapus apa pun yang terjadi setelahnya dari riwayat yang diterima. Ini memiliki dampak dua arah, karena transaksi yang dilakukan oleh pengguna biasa setelah serangan juga akan ikut terhapus.

Harmony pernah mengalami hal serupa sebelumnya, dengan peretas menguras sekitar $100 juta dari bridge lintas-rantai Horizon-nya pada Juni 2022, dalam serangan yang kemudian oleh FBI dikaitkan dengan Grup Lazarus Korea Utara.

Proposal pertama proyek untuk peretasan tahun 2022 adalah mengganti kerugian korban dalam bentuk ONE, yang berarti mencetak miliaran token baru di atas pasokan beredar dan melakukan hard-fork pada rantai untuk memungkinkannya. Rencana tersebut mendapat cukup banyak kritik sehingga tim menggantinya dengan rencana yang didanai dari kasnya. Empat tahun kemudian, seorang penyerang telah mencetak jumlah yang sebanding tanpa izin.

ONE sekarang memiliki kapitalisasi pasar sekitar $11,5 juta, menempatkannya di luar 1.000 token teratas. Terakhir diperdagangkan mendekati rekornya pada Oktober 2021 sebesar $0.38 lebih dari empat tahun lalu, dan telah turun lebih dari 99% dari level tersebut.