L’exploitation d’une faille inter-shard sur Harmony Protocol a entraîné l’émission frauduleuse de 4 milliards de tokens ONE le 12 août 2026, selon PANews. L’incident, confirmé par l’équipe officielle, a provoqué une chute de 40 % du cours du ONE token en l’espace de quelques heures, d’après CoinGape. L’attaquant a massivement transféré les actifs vers des plateformes d’échange centralisées pour les liquider. L’événement ravive le spectre d’une crise profonde pour Harmony, déjà mis à mal par le hack de son bridge Horizon en 2022 (100 millions de dollars).
Un bug critique dans la vérification des reçus inter-shard a permis à un pirate de contourner le mécanisme de consensus d’Harmony, générant 4 milliards de ONE tokens. Un correctif a été déployé en urgence et les comptes d’échange liés ont été gelés. La capitalisation boursière du projet, déjà faible après trois années difficiles, ne permet pas d’envisager un remboursement des victimes.
Comment l’attaquant a-t-il émis 4 milliards de ONE tokens ?
L’analyste on-chain Juiceberg a le premier signalé l’activité suspecte. L’attaquant a ciblé une vulnérabilité du mécanisme de vérification des reçus inter-shard, un composant essentiel de l’architecture de Harmony qui valide les transactions entre ses différentes chaînes. En forgeant des reçus en masse, il a ordonné au protocole d’émettre 4 milliards de tokens ONE sans aucune contrepartie. Ce vecteur d’attaque rappelle la création illimitée d’eBTC qui avait permis de siphonner 76 millions de dollars sur Monad en juillet 2026.
La quasi-totalité des tokens frauduleux a été immédiatement envoyée vers des plateformes d’échange centralisées. L’objectif était simple : vendre au plus vite avant que le cours ne s’effondre et que les comptes ne soient gelés. Cette stratégie de liquidation éclair est identique à celle employée lors du piratage d’Atomic Wallet, où plus de 35 millions de dollars avaient été siphonnés avant tout blocage.
Pourquoi cette nouvelle attaque relance-t-elle le spectre de la faillite pour Harmony ?
Harmony Protocol porte les stigmates du vol de 620 millions de dollars sur le bridge Ronin, un autre pont cross-chain victime d’une faille majeure. Ce précédent, couplé au hack du bridge Horizon de 2022, a profondément affaibli la crédibilité de l’écosystème. La perte de confiance est d’autant plus forte que le piratage de Multichain pour 117 millions de dollars avait démontré que les blockchains de petite capitalisation étaient des cibles de choix.
La dilution mécanique est immédiate. L’offre totale de ONE a augmenté de façon démesurée, faussant sa tokenomics. Les détenteurs historiques voient la valeur de leurs avoirs fondre, sans qu’aucun rug pull ne soit en cause. Au premier semestre 2023, ce type d’incidents avait déjà représenté 656 millions de dollars de pertes dans l’écosystème.
La seule option viable est un hard fork pour annuler les tokens frauduleux, une solution extrême qui n’est pas sans rappeler les précédents des attaques du Mirror Protocol ou de l’Echo Protocol.
Lecture CryptoActu Ce nouvel incident confirme une tendance lourde : les protocoles de niche, peu audités et disposant de liquidités limitées, restent le terrain de chasse privilégié des hackers. La vulnérabilité sur le mécanisme de consensus inter-shard n’est pas une surprise pour les auditeurs, qui alertent depuis des années sur la complexité croissante de ces architectures.
Quelles mesures ont été prises par l’équipe Harmony ?
L’équipe a réagi en urgence en publiant un correctif pour neutraliser la faille de vérification. Les fonds identifiés sur les échanges ont été gelés en coordination avec ces derniers. Cette réaction rapide rappelle la gestion de crise du hack de la BNB Chain, où l’équipe avait mis le réseau en maintenance pour contenir une attaque de 100 millions de dollars.
Cependant, l’ampleur de l’émission, 4 milliards de tokens, dépasse largement les réserves de l’équipe. La capitalisation boursière du projet, déjà faible, ne permet pas de compenser les pertes des utilisateurs. La communauté reste en attente d’une décision définitive sur le déploiement d’un hard fork.
À retenir
Le hack d’Harmony Protocol rappelle que la sécurité d’une blockchain dépend de son maillon le plus faible. L’émission de 4 milliards de ONE tokens anéantit la proposition de valeur du projet, déjà fragilisé par trois ans de difficultés. La question n’est plus de savoir si Harmony peut survivre, mais quel sera l’impact de cette nouvelle brèche sur la confiance accordée aux protocoles cross-chain de petite taille.
Questions fréquentes
Comment 4 milliards de tokens ONE ont-ils été émis sans autorisation ?
L’attaquant a exploité une faille dans le mécanisme de vérification des reçus inter-shard, un composant de l’architecture de Harmony. En forgeant des reçus, il a ordonné au protocole d’émettre 4 milliards de ONE ex nihilo. Les fonds ont ensuite été massivement transférés vers des échanges centralisés pour liquidation.
Le ONE token peut-il retrouver son cours d’avant le hack ?
La dilution massive de l’offre et la perte de confiance rendent un retour au cours antérieur très improbable à court terme. La capitalisation du projet était déjà affaiblie par le hack du bridge Horizon de 2022. Un hard fork annulant les tokens frauduleux pourrait stabiliser la situation, mais sans garantie de succès.
Harmony Protocol avait-il déjà subi une attaque similaire par le passé ?
Oui, Harmony avait été victime du hack de son bridge Horizon en juin 2022, avec 100 millions de dollars dérobés. C’était une attaque sur un pont cross-chain, non sur l’émission de tokens. Ce nouvel exploit aggrave une situation déjà critique pour le protocole, ciblé pour la deuxième fois en quatre ans.
La faille inter-shard de Harmony est-elle spécifique à ce protocole ?
La vulnérabilité est liée à l’architecture de vérification des reçus utilisée par Harmony pour communiquer entre ses chaînes. Ce type de mécanisme, bien qu’efficace pour le passage de messages, présente des risques connus des auditeurs de sécurité quand il n’est pas correctement isolé de la logique d’émission monétaire.
-
GUIDESQu'est-ce qu'Anthropic ?
