Harmony : le token ONE chute de 40 % après la création de 4 milliards de jetons par un attaquant

Ce qu’il faut retenir :

• Un exploit a créé environ 4 milliards de tokens ONE, soit plus d’un quart de l’offre existante.
• Le cours du token a chuté d’environ 40 % en séance asiatique mercredi.
• Harmony a suspendu son pont, demandé le gel de fonds aux plateformes et prépare un correctif.

Le token ONE de Harmony a chuté d’environ 40 % mercredi matin en Asie, après un exploit qui a créé quelque 4 milliards de jetons, un volume représentant plus d’un quart de l’offre existante. Environ 15 milliards de ONE circulaient avant l’incident, ce qui porte l’inflation soudaine à près de 26 %.

Comment Harmony a réagi à l’attaque

Le projet a confirmé l’attaque et demandé aux opérateurs qui font tourner le réseau d’installer une mise à jour logicielle d’urgence, censée empêcher toute création supplémentaire de tokens.

Trois mesures ont suivi. La suspension du pont inter-chaînes, d’abord, ce composant qui permet de faire circuler des actifs vers d’autres réseaux. Une demande adressée ensuite aux plateformes d’échange de bloquer et geler les fonds remontant à quatre adresses liées à l’incident. Un travail en cours enfin sur un correctif et sur des options de retour en arrière, l’équipe promettant de nouvelles informations.

Harmony n’a pas encore expliqué comment l’attaquant a pu émettre ces tokens, ni confirmé son propre décompte de l’émission non autorisée, ni indiqué comment elle compte traiter les jetons déjà créés.

Qu’est-ce qu’un rollback et pourquoi divise-t-il ?

L’option envisagée mérite une explication. Un rollback consiste à ramener le réseau à un état antérieur à l’exploit et à repartir de ce point, ce qui revient à effacer de l’historique accepté par la blockchain toutes les transactions intervenues depuis. L’image du coup d’échecs que l’on annulerait pour reprendre la partie à une position plus sûre décrit assez bien l’opération.

L’efficacité de la manœuvre décroît avec le temps. Elle empêche un attaquant de conserver des tokens créés qui se trouvent encore sur le réseau, mais devient bien plus difficile une fois les fonds parvenus sur des plateformes d’échange ou transférés vers d’autres systèmes.

Le procédé heurte par ailleurs un principe fondateur. Une partie du secteur considère qu’un retour en arrière contredit l’immuabilité de la chaîne, cette garantie qu’une transaction inscrite ne peut plus être modifiée. Le coût est réel : annuler une attaque revient aussi à annuler les transactions légitimes réalisées après elle.

Un précédent immédiat vient d’ailleurs illustrer ce dilemme. La veille, Ravencoin, autre blockchain de taille modeste bâtie sur le code de Bitcoin, a envisagé son propre rollback après que des parties de son réseau ont accepté des blocs invalides. Les mineurs ont entrepris de reconstruire la chaîne à partir d’un point antérieur au défaut, ce qui menace plusieurs jours de transactions.

Harmony n’en est pas à son premier incident

Le réseau a déjà connu une création non autorisée de ONE. En décembre 2023, un bug de son système de staking avait produit environ 146,3 millions de tokens, des jetons continuant de recevoir des récompenses alors qu’ils auraient dû cesser d’en percevoir. Le projet avait alors identifié 74 adresses concernées, dont une ayant reçu 51,2 millions de ONE, et environ 16,4 millions de tokens transférés vers une plateforme d’échange. La réponse avait déjà consisté en une mise à jour d’urgence et une mise sur liste noire des adresses détentrices.

L’épisode le plus coûteux remonte à 2022, avec l’une des plus grosses attaques de pont de l’histoire du secteur : environ 100 millions de dollars dérobés sur le pont Horizon, après compromission des clés privées qui le contrôlaient. Le FBI avait attribué ce vol au groupe nord-coréen Lazarus.

L’incident de mercredi diffère sur un point : les dégâts portent sur la création de ONE sur le réseau lui-même, et non sur des actifs volés depuis un pont.

Et maintenant ?

Harmony est un réseau de première couche destiné aux protocoles de finance décentralisée et aux places de marché, dont le token natif sert à payer les frais de transaction et à sécuriser la chaîne. Le projet comptait parmi les plus grosses capitalisations du secteur à son apogée, valorisé 4 milliards de dollars en janvier 2022.

Trois éléments détermineront la suite. La décision sur le rollback, d’abord, qui obligera l’équipe à arbitrer entre la récupération des fonds et le respect de l’immuabilité. L’efficacité du gel demandé aux plateformes ensuite, dont dépend la capacité de l’attaquant à monétiser son butin. L’explication technique de la faille enfin, seule information capable de rassurer les détenteurs sur la solidité du correctif annoncé.