Harmony запропонувала відкотити свій блокчейн до двох контрольних точок 11 серпня. Цей план відновлення відкине понад 109 000 звичайних транзакцій, оскільки мережа видаляє ONE, створені за допомогою сфабрикованої емісії.
Згідно з останнім оновленням інциденту Harmony на X, валідатори збережуть блок 92 730 034 у шард 0 та блок 94 978 278 у шард 1, обидва записані о 23:25:37 UTC 11 серпня, перш ніж перезапустити мережу з нових баз даних, побудованих навколо цих контрольних точок.
Згідно з планом, нові блоки починатимуться з висот 92 730 035 у шард 0 та 94 978 279 у шард 1. Harmony заявила, що версію клієнта v2026.1.2 було налаштовано на відхилення аномальних хешів блоків, пов'язаних з інцидентом, що запобігає прийняттю валідаторами ураженої історії ланцюга після перезапуску.
Перша підтверджена сфабрикована емісія досягла шард 0 у блоці 92 730 036, згідно з мережею. Блок 92 730 035 не містив звичайних або стейкінгових транзакцій, вхідних квитанцій або використання газу, тоді як його стан залишався незмінним порівняно з блоком 92 730 034.
Harmony заявила, що обрала блок 92 730 034, щоб забезпечити буфер безпеки на один блок. База даних, скрипти відновлення та процедури валідаторів також були підготовлені та переглянуті навколо цього блоку, тоді як зміна контрольної точки на пізньому етапі могла призвести до того, що валідатори працюватимуть з різними цілями відновлення.
Шард 1 не був місцем, де відбулася сфабрикована емісія. Harmony заявила, що її відповідна контрольна точка була включена як запобіжний захід з використанням того ж часового штампу.
План відновлення замінить уражені бази даних шардів замість використання існуючої функції відкату Harmony.
За словами команди, функція –revert мережі в основному переміщує головні ланцюги і не повністю очищає пізніші квитанції, індекси, знімки та інформацію про крос-шарди. Залишення частини цих даних може зберегти шлях атаки або призвести до того, що валідатори досягнуть різних станів.
Harmony заявила, що замінена база даних надає валідаторам єдиний перевірений стан, з якого можна відновити консенсус.
Команда також розглянула спалювання або пряме виправлення сфабрикованих ONE, але заявила, що токени вже пройшли через біржі, пули децентралізованих бірж, контракти та численні гаманці. Тому видалення активів в окремих місцях призначення може вплинути на кошти, що належать непов'язаним користувачам.
Чорний список був відхилений, оскільки він залишив би сфабриковану пропозицію існуючою, потенційно обмежуючи гаманці, що містять законні активи. Вибіркове повторне відтворення транзакцій також було виключено, оскільки стан заміненого ланцюга відрізнятиметься від відкинутого ланцюга, що означає, що ідентичні транзакції можуть дати різні результати.
Міграція токенів була ще одним варіантом, розглянутим Harmony, але команда заявила, що це спричинить значно більше збоїв.
Це рішення прийнято після того, як інший блокчейн зіткнувся з подібним вибором після експлойту. У грудні 2025 року Flow переглянула плани відкату після експлойту рівня виконання на 3,9 мільйона доларів, відмовившись від початкової пропозиції повного відкату на користь цільового спалювання токенів після того, як оператори мостів та інші учасники висловили занепокоєння щодо впливу на законну діяльність. crypto.news тоді повідомила, що Flow також планувала поетапний перезапуск мережі та обмеження для позначених облікових записів.
Відкат Harmony відкине всі блоки, створені після вибраних контрольних точок, включаючи звичайні транзакції, здійснені користувачами протягом постраждалого періоду.
Для вимірювання впливу команда створила архів шард 0, що охоплює блоки 92 730 035 до 92 871 662. Набір даних містив 141 628 послідовних блоків, 109 126 звичайних транзакцій та 315 транзакцій стейкінгу, з 109 441 точними відповідностями транзакцій квитанціям.
Harmony заявила, що перевірила безперервність батьківського хешу та повноту квитанцій по всьому архівному діапазону.
Автоматизована діяльність становила більшу частину кількості транзакцій. З 109 126 звичайних транзакцій 104 545, або 95,80%, були класифіковані як автоматизовані. Автоматизація DEX становила 99 863 транзакції, включаючи 75 430 успішних обмінів та 11 804 невдалі спроби ботів.
В результаті Harmony застерегла, що кількість відкинутих транзакцій не слід розглядати як кількість постраждалих користувачів.
Команда також вивчила, чи можна безпечно відновити деякі звичайні транзакції після відкату. Лише 22 були простими нативними переказами без очевидної залежності у доступних даних, але Harmony заявила, що навіть їх не можна автоматично вважати безпечними для повторного відтворення.
Ще 860 нативних переказів викликали питання щодо балансів, джерел фінансування, нонсів або подальших витрат. Додаткові 80 630 транзакцій залежали від стану контракту або блокчейну, тоді як 27 614 були невдалими транзакціями, діяльністю, пов'язаною з інцидентами, або переміщеннями за участю бірж, мостів та маршрутів консолідації.
Усі 315 транзакцій стейкінгу також залежать від стану ланцюга та епохи, згідно з оновленням.
Harmony заявила, що баланси, нонси, схвалення токенів, терміни обміну, резерви пулу ліквідності та умови стейкінгу зміняться після запуску заміненого ланцюга. За такого зміненого стану транзакція, яка раніше не вдалася, могла б бути успішною, тоді як обмін, схвалення або транзакція стейкінгу могли б призвести до іншого результату.
Повні трасування EVM також недоступні через дані RPC, використані в огляді, залишаючи внутрішні перекази контрактів та зміни сховища предметом аналізу, специфічного для додатків.
Розслідування окремо відобразило рух новостворених ONE по мережі.
За даними Harmony, один гаманець, залучений до сфабрикованої емісії, здійснив 534 спроби переказів по 5 мільярдів ONE кожен протягом 106 секунд. Загалом 477 переказів були успішними, перемістивши 2,385 трильйона ONE.
Слідчі створили часово-впорядкований графік, починаючи з усіх гаманців, пов'язаних зі сфабрикованими емісіями, розділяючи транзакції, підписані цими гаманцями, на успішні перекази, невдалі спроби та подальші переміщення через інші адреси.
Відслідкована діяльність була перевірена за блоками, квитанціями транзакцій та балансами до блоку 92 805 850 у шард 0. Harmony заявила, що кошти досягли автономних гаманців, облікових записів бірж, маршрутизаторів та пулів DEX, позицій постачальників ліквідності, контрактів мостів, обгорнутих ONE, гаманців для стейкінгу та високооб'ємних службових гаманців.
Коли сфабриковані ONE змішувалися з іншими активами, модель трасування відстежувала перекази хронологічно та обмежувала суму, віднесену до сфабрикованих токенів, доступним балансом кожного гаманця. За словами команди, цей метод мав на меті запобігти повторному підрахунку одних і тих же токенів, коли вони переміщувалися між адресами.
Раніша модель відстежила понад 99,9% сфабрикованих ONE до гаманця або межі сервісу, тоді як пізніша версія узгодила майже всю суму через ці межі та комісії за транзакції на вибраному відрізі.
Harmony підкреслила, що покриття маршруту не означає, що слідчі можуть ідентифікувати осіб, які контролюють кожне місце призначення. Облікові записи бірж, пули, контракти та інші сервісні кластери можуть містити кошти, що належать багатьом користувачам.
Кількість, яку можна безпечно знищити, ще менша, за словами команди. Сфабриковані токени, залишені недоторканими в автономному гаманці, можливо ізолювати, тоді як ONE, що потрапили до гаманця біржі, пулу ліквідності, мосту, стейкінг-позиції або іншого спільного балансу, вже не можуть бути повністю видалені без ризику для непов'язаних активів.
Подібна проблема виникла в інших атаках на карбування токенів. У червні Humanity Protocol розкрив, що скомпрометовані адміністративні ключі дозволили зловмисникам взяти під контроль інфраструктуру мосту та карбувати додаткові токени H на BNB Smart Chain. Протокол зупинив постраждалі операції мосту та координував дії з біржами та правоохоронними органами, поки слідчі відстежували викрадені активи.
Harmony заявила, що досягла початкового прогресу у відстеженні хакера та співпрацює з біржами, мостами та правоохоронними органами для збереження записів та продовження розслідування.
Незалежна стороння компанія з безпеки також окремо переглянула інцидент та підтвердила факт сфабрикованої емісії та основні висновки аналізу руху коштів, згідно з мережею.
Harmony вже мала справу з великим міжланцюговим інцидентом безпеки. Її Horizon Bridge втратив близько 100 мільйонів доларів у червні 2022 року після компрометації приватних ключів, що контролювали міст. Згодом проєкт співпрацював з біржами, правоохоронними органами та блокчейн-аналітичними фірмами для ідентифікації зловмисника, при цьому збільшивши винагороду за хакера до 10 мільйонів доларів.
Кошти від тієї атаки продовжували рухатися через місяці. У січні 2023 року ончейн-розслідувачі відстежили викрадені ETH через сотні адрес, тоді як Binance та Huobi заморозили рахунки, пов'язані з рухом, та відновили 124 BTC.
Щодо поточного інциденту, Harmony заявила, що працює з біржами та мостами для оцінки наслідків відкидання діяльності після контрольної точки та визначення того, як можна впоратися з постраждалими сторонами. Команда заявила, що всі блоки після контрольних точок будуть видалені згідно з пропонованим відновленням, включаючи звичайні транзакції, які не були пов'язані зі сфабрикованою емісією.
BTC
