Harmony ONE: hoe een bug ~4 miljard tokens uit het niets liet bijmakenHarmony ONE: how a bug minted ~4 billion tokens out of thin air

Wat is er precies gebeurd?What exactly happened?

Harmony is een zogenoemde Layer-1-blockchain met een eigen munt, ONE. Op zulke netwerken bepalen validators samen welke transacties geldig zijn. De veiligheid draait erom dat er niet zomaar nieuwe munten kunnen ontstaan zonder dat een meerderheid van die validators het goedkeurt.Harmony is a so-called Layer-1 blockchain with its own coin, ONE. On such networks validators together decide which transactions are valid. Security rests on the rule that new coins can't simply appear without a majority of those validators approving it.

Precies daar zat de fout. De code telde de publieke sleutels die in een handtekening-masker stonden, in plaats van de validators die écht hadden getekend. Daardoor kon een bericht zónder geldige handtekeningen tóch door de goedkeuringsdrempel glippen. Op 12 augustus 2026 gebruikte een aanvaller dit om via twee "lege" blokken ~4 miljard ONE bij te maken — ongeveer 26% bovenop de ~15 miljard die er al waren.That is exactly where the flaw was. The code counted the public keys listed in a signature mask, instead of the validators that actually signed. As a result a message with no valid signatures could still slip past the approval threshold. On 12 August 2026 an attacker used this to mint ~4 billion ONE via two "empty" blocks — about 26% on top of the ~15 billion already in circulation.

Een sluw detail: de teller die de totale voorraad toont (totalSupply) werd niet bijgewerkt. Veel koerssites en dashboards bleven daardoor de oude, te lage voorraad tonen, terwijl de nieuwe tokens al richting exchanges bewogen — naar verluidt zo'n 2,8 miljard ONE. Tegen de tijd dat het duidelijk werd, was de koers al ingestort.A sly detail: the counter that shows total supply (totalSupply) was not updated. Many price sites and dashboards therefore kept showing the old, too-low supply, while the new tokens were already moving toward exchanges — reportedly some 2.8 billion ONE. By the time it became clear, the price had already collapsed.

De tijdlijn — stap voor stapThe timeline — step by step

De waarschuwingssignalen — voor jou als houderThe warning signs — for you as a holder

Deze fout kon je niet aan de buitenkant zien. Maar er zijn wél afwegingen die je vóóraf had kunnen maken om minder kwetsbaar te zijn:You couldn't see this flaw from the outside. But there are trade-offs you could have weighed in advance to be less vulnerable:

Had de scam checker dit gevonden?Would the scam checker have caught this?

Deels — maar dit valt grotendeels buiten een token-checker. Onze scam checker onderzoekt losse tokens en hun contract: honeypots, verkoopblokkades, verdachte code. De Harmony-exploit zat niet in een token-contract, maar in de consensuscode van de hele blockchain.Partly — but this largely falls outside a token checker. Our scam checker examines individual tokens and their contract: honeypots, sell blocks, suspicious code. The Harmony exploit was not in a token contract, but in the consensus code of the whole blockchain.

Wat je hier het beste beschermt, is spreiding en gezond verstand: hoeveel van je vermogen wil je op één relatief kleine chain hebben staan? Een checker is nuttig bij het kopen van losse tokens, maar tegen protocolrisico helpt vooral je eigen risicospreiding.What protects you best here is diversification and common sense: how much of your wealth do you want on one relatively small chain? A checker helps when buying individual tokens, but against protocol risk your own risk-spreading is what matters most.