公链项目Harmony于近日提出一项区块链回滚方案，旨在消除因伪造铸造（forged mint）产生的ONE代币。根据该计划，网络将回滚至8月11日UTC时间23:25:37的两个检查点——分片0的区块92,730,034和分片1的区块94,978,278，随后从基于这些检查点重建的数据库重新启动。此举将丢弃此后产生的所有区块，共计超过10.9万笔常规交易和315笔质押交易。
回滚方案细节
Harmony团队表示，之所以选择替换数据库而非使用现有的内置回滚功能（--revert），是因为后者仅移动链头，无法彻底清除后续收据、索引、快照和跨分片信息，可能留下攻击路径或导致验证者状态不一致。替换数据库将给验证者提供一个统一的已审查状态，以便恢复共识。同时，团队已配置客户端版本v2026.1.2，拒绝与事件相关的异常区块哈希，防止验证者在重启后接受受影响的历史链。
对于检查点选择，团队特意在首次确认伪造铸造的区块（分片0区块92,730,036）之前设置了一个区块的安全缓冲区——区块92,730,034。该区块不存在常规或质押交易、收据或gas消耗，状态与前一区块相同。分片1虽未发生伪造铸造，但作为预防措施，同样选择了相同时间戳的检查点。
伪造ONE的扩散与追踪
调查显示，一个与伪造铸造相关的钱包在106秒内尝试了534次转账，每次5亿枚ONE，其中477次成功，共转移了2.385万亿枚ONE。资金已流向独立钱包、交易所账户、DEX路由器和流动性池、LP头寸、桥合约、封装ONE、质押钱包以及高流量服务钱包。团队通过时间顺序图追踪资金流向，并采用上限模型防止重复计算，其中早期模型追踪到超过99.9%的伪造ONE到达钱包或服务边界。
然而，Harmony指出，路径覆盖不等于能够识别每个目的地的控制者。交易所账户、流动性池、合约等可能包含多个用户的资金，因此可安全销毁的伪造ONE数量更少——仅未动用的独立钱包中的代币可能被隔离，而进入共享余额的代币无法在不影响其他资产的情况下完全移除。
为何不直接销毁或修复
团队曾考虑直接销毁或修复伪造ONE，但因代币已通过交易所、DEX池、合约和众多钱包，移除特定地址的资产可能影响无关用户。黑名单方案则因会留下伪造供应且可能限制持有合法资产的钱包而被否决。选择性重放交易也不可行，因为替换链的状态与丢弃链不同，相同交易可能产生不同结果。代币迁移则被认为会造成更大混乱。
交易影响分析
为评估影响，团队构建了分片0的存档（区块92,730,035至92,871,662），包含141,628个连续区块、109,126笔常规交易和315笔质押交易。其中95.80%的常规交易（104,545笔）为自动化活动，包括DEX自动交易、机器人尝试等。其余交易中，仅有22笔为简单的原生转移，但团队强调不能自动视为安全重放，因为余额、nonce、授权等状态将在替换链上改变。所有315笔质押交易也依赖于链和纪元状态。
调查与恢复进展
Harmony表示已与交易所、桥和执法部门合作，初步追踪到黑客踪迹，并委托独立第三方安全公司审查事件，其结论与资金流动分析一致。此前，Harmony的Horizon Bridge在2022年6月曾遭黑客攻击损失约1亿美元，项目方随后悬赏1000万美元追查攻击者。本次事件中，团队正评估丢弃检查点后活动的影响，并确定如何妥善处理受影响的用户。