Le ONE d'Harmony s'effondre de 30 % après qu'un pirate a créé 4 milliards de jetons

Effondrement du token après une attaque ayant permis la création de 4 milliards de tokens

Le token natif du protocole Harmony, le ONE, a plongé de plus de 30 % mercredi pour atteindre son plus bas niveau historique à la suite d’une faille qui a permis à un attaquant de créer plus de 4 milliards de tokens, soit environ 26 % de l’offre totale du réseau.

Selon les analyses on-chain partagées par l’enquêteur spécialisé dans les cryptomonnaies Juiceberg, l’auteur de l’attaque a transféré environ 97 % des tokens créés frauduleusement directement vers des plateformes d’échange de cryptomonnaies, laissant environ 115 millions de tokens sur les adresses de création d’origine.

Bien que le montant exact des jetons liquidés reste incertain, l’effondrement soudain de la capitalisation boursière de ONE — qui est passée de près de 16 millions de dollars à 11,7 millions de dollars — indique qu’une part importante des jetons illicites a été convertie en liquidités avec succès.

À la suite de cette faille, l’équipe Harmony a publié une série de communiqués confirmant l’exploitation de la faille et décrivant les mesures d’atténuation d’urgence. Dans un premier temps, l’équipe a demandé aux principales plateformes d’échange de cryptomonnaies de geler immédiatement les fonds liés à quatre adresses de portefeuille spécifiques appartenant aux principaux attaquants.

Dans des mises à jour ultérieures, le protocole a indiqué avoir suspendu les opérations sur son interface de pont principale et a révélé avoir publié un correctif urgent du code source, ordonnant à tous les validateurs du réseau de procéder immédiatement à la mise à jour afin de mettre un terme à toute nouvelle création non autorisée de jetons. « À tous les validateurs : veuillez effectuer la mise à jour. Ce correctif empêche toute nouvelle création de jetons. Nous publierons une nouvelle mise à jour pour traiter les tokens déjà émis », a déclaré l’équipe de développement principale d’Harmony dans un communiqué. L’équipe a confirmé qu’elle évaluait des mesures supplémentaires, notamment une éventuelle restauration du réseau, afin de neutraliser l’impact économique de l’offre émise frauduleusement.

Ce dernier incident porte un nouveau coup à un projet qui constituait autrefois un écosystème de couche 1 évalué à plusieurs milliards de dollars. Début 2022, le ONE avait atteint un plus haut historique de 0,379 $ avant que le réseau ne subisse une violation de 100 millions de dollars affectant son Horizon Bridge. Lors de cette attaque, le groupe Lazarus, soutenu par l’État nord-coréen, aurait exploité des clés privées compromises hébergeant des portefeuilles « chauds » chargés de détecter et de traiter les transactions de pont inter-chaînes.

Au moment de la première attaque, le cours du ONE était déjà tombé à environ 2 cents. Après une tendance baissière structurelle qui dure depuis plusieurs années, cette dernière faille de frappe au niveau des validateurs a fait chuter le ONE de près de 97 % par rapport à son pic, ce qui amène la communauté à se demander comment des failles de sécurité aussi critiques continuent d’échapper aux audits du protocole et aux contrôles de l’infrastructure centrale.

Les difficultés de Harmony sont aggravées par un manque flagrant de soutien de la part de ZachXBT, un chercheur en sécurité Web3 de renom. Ce dernier a invoqué l’historique du protocole, qui n’a pas récompensé les contributeurs « white hat » et les enquêteurs lors de l’attaque de 2022, pour justifier son refus d’apporter son aide.

Répondant directement à l’appel public lancé par Harmony aux plateformes d’échange, ZachXBT a déclaré : « Je ne suivrai pas cet incident et je pense que personne ne devrait les aider gratuitement. Harmony a profité des personnes qui l’ont aidée lors de l’exploitation de Harmony Bridge par la RPDC en 2022, qui s’est soldée par une perte de 100 millions de dollars, et n’a versé aucune récompense pour les gel de fonds importants qui ont conduit à des saisies par les forces de l’ordre [Law Enforcement] , et s’est contenté de dire “bravo” ».