El token ONE de Harmony se desploma después de que un atacante acuñara 4.000 millones de tokens a través de bloques vacíos

Harmony, la cadena de bloques de capa 1 que en su día se presentó como una solución de escalabilidad para Ethereum, confirmó el 12 de agosto que había sido objeto de un ataque tras el cual un atacante acuñó aproximadamente 4.000 millones de tokens ONE sin autorización, una cantidad equivalente a alrededor del 26% del suministro total en circulación de la red en ese momento.

La primera señal de problemas provino del analista de cadena Juiceberg, quien publicó en X que la cadena de bloques de Harmony había sido vulnerada mediante bloques vacíos, y que el punto final «totalSupply» de la red no reflejaba los nuevos tokens en tiempo real:

Harmony ha sido vulnerada, ya que los datos en cadena revelan una emisión no autorizada de 4 000 millones de ONE (el 26% del suministro) a través de bloques vacíos, de los cuales 2 800 millones se canalizaron rápidamente hacia las plataformas de intercambio al desplomarse el precio, mientras que el punto final «totalSupply» oculta la inflación de $ONE

Los bloques vacíos son entradas normales y válidas en una cadena de bloques que no contienen transacciones de usuarios. Según las conclusiones de Juiceberg, el atacante utilizó este mecanismo para desencadenar la creación no autorizada de tokens mientras el contador público de suministro de la cadena permanecía congelado, ganando tiempo antes de que nadie más adelante en la cadena —exchanges, rastreadores, otros validadores— se diera cuenta de que algo iba mal. Para cuando se detectó la emisión, aproximadamente 2.8 mil millones de los tokens recién creados —alrededor del 97% del total— ya habían llegado a las carteras de las plataformas de intercambio, donde o bien se habían vendido o bien se encontraban en cuentas de depósito listas para su uso. Juiceberg estimó que lo que quedaba en la cadena rondaba los 115 millones de ONE, es decir, menos del 3% del botín.

Harmony confirmó el ataque horas más tarde en su cuenta oficial y pidió directamente a las plataformas de intercambio que congelaran los fondos vinculados a cuatro direcciones de monedero relacionadas con el ataque:

Solicitamos a todas las plataformas de intercambio que bloqueen y congelen los fondos que se remonten a estas cuatro direcciones de monedero: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn 0xe7427699427821230177dd13f460d6ce43014510 one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 0xf722f7f6afffe8e0dda7b4a97b2c64bb6408efe5

El equipo ha afirmado que está trabajando en un parche de software y valorando opciones de reversión, aunque no ha llegado a confirmar la vulnerabilidad exacta ni el volumen final de la emisión. Una reversión restablecería la cadena a un punto anterior al ataque y continuaría a partir de ahí —lo que, en teoría, parece una solución limpia—, pero también borraría todas las transacciones legítimas que los usuarios hayan realizado entretanto. Esa no es una decisión que Harmony pueda tomar a la ligera.

La reacción del precio fue inmediata y desastrosa. ONE cayó entre un 26% y un 37%, dependiendo del rastreador y del intervalo de tiempo que se consulte, y cotizaba en torno a los 0,0008 dólares. A ese precio, los 4 000 millones de tokens acuñados equivalen, sobre el papel, a unos 3,2 millones de dólares. Una cifra insignificante comparada con lo que supone un hackeo de un puente de 100 millones de dólares en una hoja de cálculo, pero la cifra nunca fue realmente lo importante. Lo importante es que nadie se dio cuenta mientras estaba ocurriendo.

Esta no es la primera vez que Harmony sufre un susto relacionado con el suministro. En diciembre de 2023, un error en el staking acuñó indebidamente 146,28 millones de ONE en docenas de direcciones de delegadores después de que la máquina de estados de la red no gestionara correctamente un cambio en la comisión de los validadores. Harmony llevó a cabo un hard fork de emergencia, aunque para entonces ya habían llegado unos 16,4 millones de tokens a una plataforma de intercambio. Aún más atrás, en junio de 2022, unos atacantes comprometieron la cartera multifirma del puente entre cadenas Horizon de Harmony y se llevaron cerca de 100 millones de dólares. Tres incidentes relacionados con el suministro o los puentes en cuatro años no es una coincidencia que los inversores vayan a pasar por alto fácilmente.

Harmony no es la única cadena que se enfrenta a este tipo de problemas esta semana. Ravencoin lleva luchando contra su propio problema de retroceso desde el 7 de agosto, después de que un fallo en la validación de bloques de KAWPOW permitiera la entrada de bloques no válidos en su libro mayor y obligara a los grupos de minería a reconstruir la cadena desde el primer bloque defectuoso. En junio, Humanity Protocol perdió unos 36 millones de dólares cuando se utilizaron claves de administrador comprometidas para acuñar 300 millones de tokens H no autorizados en dos redes, y ese token cayó casi un 90%. La acuñación no autorizada sigue apareciendo como el modo de fallo, en cadenas que tienen muy poco más en común.

Por ahora, los titulares de ONE están pendientes de dos cosas: si Harmony conseguirá que las plataformas de intercambio congelen los tokens que aún se encuentran en las carteras de depósito antes de que se vendan, y si una reversión está siquiera sobre la mesa sin alienar a los usuarios cuyas transacciones quedarían anuladas. Ninguna de las dos respuestas parece sencilla.