La blockchain Harmony déjà marquée par le piratage du pont Horizon en 2022, encaisse un second choc de sécurité en quatre ans. Le 12 août, une faille dans la vérification des reçus inter-shards a permis à un attaquant de forger des ONE sans jamais débiter un autre compte en contrepartie. Le résultat dépasse l’entendement : plus de 3 000 milliards de jetons créés à partir de rien. La suite s’annonce aussi radicale que le diagnostic.
- La blockchain Harmony a été confrontée à un scandale de sécurité, permettant à un pirate de créer plus de 3 000 milliards de jetons ONE à partir de rien.
- Pour remédier à cette catastrophe, Harmony a opté pour un rollback complet, affectant plus de 141 000 blocs et annulant de nombreuses transactions.
ONE : comment un bug de reçus a permis de forger 3 000 milliards de jetons
Le mécanisme tient en une ligne, mais ses conséquences ont pris cinq jours à être mesurées. La faille laissait un même reçu valide être traité plusieurs fois entre les deux chaînes fragmentées (shards) de Harmony, ce qui revenait à autoriser une frappe monétaire sans contrepartie. Une première estimation, le 12 août, évoquait 4 milliards de ONE créés. Ce n’était que la partie émergée.
En effet, une reconstruction complète a fini par établir que 3,01 billions de ONE avaient été forgés en six transactions, envoyés vers quatre portefeuilles distincts, rapporte The Block. Un seul de ces portefeuilles a réussi à faire transiter près de 2,4 billions de ONE, soit environ 3 milliards de dollars aux prix d’avant l’attaque, en moins de deux minutes. 477 transferts réussis sur 534 tentés, tous en 106 secondes. Le correctif logiciel, lui, est arrivé le jour même du piratage.
Le rollback qui doit remettre les compteurs à zéro sur Harmony
Face à un tel volume, brûler les jetons ou mettre certains portefeuilles sur liste noire ne suffisait plus : trop de ONE forgés avaient déjà transité par des pools d’échange décentralisé, des ponts et des contrats mêlant fonds légitimes et fonds volés.
Harmony a donc opté pour un rollback complet des shards 0 et 1 jusqu’à un point de repère daté du 11 août à 23h25 UTC, puis un redémarrage sur des bases de données neuves, un chantier dont Harmony a chiffré l’ampleur à 141 628 blocs concernés, plutôt qu’une simple annulation logicielle, jugée trop partielle pour effacer proprement les traces de l’attaque. La facture de l’opération : plus de 109 000 transactions classiques et 315 transactions de staking purement et simplement annulées, selon les propres chiffres de Harmony. Beaucoup relevaient de bots de trading automatisés, mais pas tous, et personne ne peut garantir qu’aucun utilisateur innocent ne se retrouve lésé au passage.
ONE en chute libre, la confiance dans Harmony écornée
Sans surprise, le marché n’a pas franchement salué l’épisode. Le jeton ONE a perdu 42,3% sur sept jours, sa capitalisation totale ne pèse plus qu’environ 10,7 millions de dollars. Un montant presque dérisoire comparé aux 3 milliards de dollars théoriques créés par le pirate en quelques minutes, mais qui dit tout du fossé entre la valeur affichée sur le papier et la liquidité réelle d’un token déjà mal en point.
L’affaire n’est pas non plus unique dans son genre : en 2016, l’écosystème Ethereum avait déjà tranché un débat similaire, poussant le réseau à réécrire son histoire après le piratage à 3,6 millions d’ETH qui a donné naissance à Ethereum Classic.
L’article Hack crypto : Harmony efface 141 000 blocs pour annuler 3 000 milliards de ONE forgés par un pirate est apparu en premier sur Journal du Coin.
