Der ONE-Token von Harmony stürzt ab, nachdem ein Angreifer über leere Blöcke 4 Milliarden Token geprägt hat

Harmony, die Layer-1-Blockchain, die sich einst als Skalierungslösung für Ethereum bezeichnete, bestätigte am 12. August, dass sie Opfer eines Angriffs geworden war, bei dem ein Angreifer ohne Genehmigung rund 4 Milliarden ONE-Token geprägt hatte – eine Menge, die etwa 26% des gesamten zu diesem Zeitpunkt im Umlauf befindlichen Bestands des Netzwerks entsprach.

Das erste Anzeichen für Probleme kam vom On-Chain-Analysten Juiceberg, der auf X postete, dass die Blockchain von Harmony mithilfe leerer Blöcke ausgenutzt worden sei und dass der „totalSupply“-Endpunkt des Netzwerks die neuen Token nicht in Echtzeit widerspiegele:

Harmony wurde ausgenutzt, wie On-Chain-Daten zeigen: Eine unbefugte Prägung von 4 Mrd. ONE (26% des Umlaufs) über leere Blöcke, wobei 2,8 Mrd. schnell an Börsen weitergeleitet wurden, während der Kurs einbrach und der „totalSupply“-Endpunkt die Inflation von $ONE verschleierte

Leere Blöcke sind gewöhnliche, gültige Einträge in einer Blockchain, die keine Benutzertransaktionen enthalten. Nach den Erkenntnissen von Juiceberg nutzte der Angreifer diesen Mechanismus, um eine unbefugte Token-Erstellung auszulösen, während der öffentliche Supply-Zähler der Chain eingefroren blieb, und verschaffte sich so Zeit, bevor irgendjemand weiter unten in der Kette – Börsen, Tracker, andere Validatoren – bemerkte, dass etwas nicht stimmte. Als die Token-Erzeugung entdeckt wurde, waren bereits rund 2,8 Milliarden der neu geschaffenen Token – etwa 97% der Gesamtmenge – in den Wallets der Börsen angekommen, wo sie entweder verkauft worden waren oder in Einzahlungskonten bereitstanden. Juiceberg bezifferte den verbleibenden Bestand in der Blockchain auf rund 115 Millionen ONE, was weniger als 3% der Gesamtbeute entspricht.

Harmony bestätigte den Angriff einige Stunden später auf seinem offiziellen Account und forderte die Börsen direkt auf, Gelder einzufrieren, die mit vier Wallet-Adressen in Verbindung stehen, die mit dem Angriff in Verbindung stehen:

Wir bitten alle Börsen, Gelder zu sperren und einzufrieren, die auf diese 4 Wallet-Adressen zurückzuführen sind: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

Das Team gab an, an einem Software-Patch zu arbeiten und Rollback-Optionen abzuwägen, verzichtete jedoch darauf, die genaue Sicherheitslücke oder den endgültigen Umfang der Prägung zu bestätigen. Ein Rollback würde die Blockchain auf einen Zeitpunkt vor dem Exploit zurücksetzen und von dort aus fortfahren – was theoretisch sauber klingt, aber auch jede legitime Transaktion löschen würde, die Nutzer in der Zwischenzeit getätigt haben. Das ist keine Entscheidung, die Harmony leichtfertig treffen kann.

Die Kursreaktion erfolgte sofort und war drastisch. Der Kurs von ONE fiel je nach verwendetem Tracker und Betrachtungszeitraum um 26% bis 37% und notierte bei etwa 0,0008 US-Dollar. Bei diesem Kurs beläuft sich der Wert der gesamten 4 Milliarden geschaffenen Token auf dem Papier auf rund 3,2 Millionen US-Dollar. Das ist wenig im Vergleich zu einem Bridge-Hack in Höhe von 100 Millionen US-Dollar, wie er in einer Tabellenkalkulation aussieht, aber um die Zahl ging es eigentlich nie. Der Punkt ist, dass niemand den Vorfall bemerkt hat, während er stattfand.

Dies ist nicht die erste Versorgungskrise bei Harmony. Im Dezember 2023 wurden durch einen Staking-Fehler fälschlicherweise 146,28 Millionen ONE über Dutzende von Delegator-Adressen hinweg geprägt, nachdem eine Änderung der Validator-Provision von der Zustandsmaschine des Netzwerks nicht korrekt verarbeitet worden war. Harmony führte einen Notfall-Hard-Fork durch, obwohl zu diesem Zeitpunkt bereits etwa 16,4 Millionen Token eine Börse erreicht hatten. Noch weiter zurück, im Juni 2022, kompromittierten Angreifer die Multi-Signatur-Wallet auf der Horizon-Cross-Chain-Bridge von Harmony und entzogen fast 100 Millionen US-Dollar. Drei Vorfälle im Zusammenhang mit dem Token-Angebot oder der Bridge innerhalb von vier Jahren sind kein Zufall, den Investoren einfach so abtun werden.

Harmony ist nicht die einzige Blockchain, die diese Woche mit solchen Problemen zu kämpfen hat. Ravencoin kämpft seit dem 7. August mit seiner eigenen Rollback-Frage, nachdem ein Fehler bei der KAWPOW-Blockvalidierung ungültige Blöcke in das Ledger gelangen ließ und Mining-Pools dazu zwang, die Blockchain ab dem ersten fehlerhaften Block neu aufzubauen. Im Juni verlor das Humanity Protocol etwa 36 Millionen US-Dollar, als kompromittierte Admin-Schlüssel dazu genutzt wurden, 300 Millionen nicht autorisierte H-Token über zwei Netzwerke hinweg zu prägen, woraufhin der Wert dieses Tokens um fast 90% einbrach. Das unbefugte Prägen von Token taucht immer wieder als Fehlerquelle auf – und zwar in Blockchains, die ansonsten kaum Gemeinsamkeiten aufweisen.

Derzeit beobachten ONE-Inhaber zwei Dinge: ob Harmony die Börsen dazu bewegen kann, die noch in Einzahlungs-Wallets befindlichen Token vor ihrem Verkauf einzufrieren, und ob ein Rollback überhaupt in Betracht kommt, ohne die Nutzer zu verprellen, deren Transaktionen dadurch gelöscht würden. Keine der beiden Antworten scheint eindeutig zu sein.