El atacante de Harmony no acuñó 4.000 millones de ONE sino 215 veces todo el suministro, y las direcciones que el proyecto manda congelar son el 0,3%

El nodo de Harmony sigue diciendo que existen 15.329.580.007 ONE. Una sola dirección tiene 618.468.354.474. Ese desajuste, cuarenta veces el suministro entero metido en un monedero que la contabilidad de la cadena no registra, es el verdadero tamaño del ataque que este miércoles hundió el token un 37% y que toda la prensa está contando como «4.000 millones de tokens, el 26% del suministro».

He pedido los saldos y el historial completo al RPC público de la red y a un proveedor independiente. La cuenta que sale no es de 4.000 millones. Entre las 02:15:36 y las 05:31:55 UTC de hoy, una dirección repartió 2.672.731.645.523 ONE en 744 transacciones a 534 monederos distintos, y se quedó con otros 618.468 millones. Suma: 3,2912 billones de ONE, doscientas quince veces todo lo que la cadena reconoce como emitido.

Por qué el contador oficial no ve nada

El fallo, según el analista Juiceberg que dio la alerta y que Harmony retuiteó, permite acuñar ONE «a través de bloques vacíos». Eso no es un detalle de color: explica por qué las cifras públicas están mal. El suministro que devuelve el método hmyv2_getTotalSupply no se calcula sumando saldos, se calcula a partir de la emisión prevista más las recompensas de bloque. Si las monedas aparecen dentro del bloque sin pasar por una transferencia, el contador no se mueve.

Lo comprobé en la práctica con una de las dos direcciones que el proyecto quiere congelar. Su lista de transacciones recibidas tiene exactamente una entrada, de hoy a las 05:31:45. Y sin embargo esa misma dirección ya estaba enviando dinero cinco horas antes: doce transferencias entre las 00:12:26 y las 00:46:55 UTC, 887.705.623 ONE repartidos en tramos de 111.111.111, de 50 millones y de 266.903.825. Es decir, gastó casi mil millones de tokens que nunca recibió. En un libro de contabilidad normal eso no se puede escribir.

El mismo agujero se cuela en los agregadores. CoinGecko sigue publicando un suministro circulante de 14.870.211.425 ONE y con esa base calcula una capitalización de 11,5 millones de dólares. Es una cifra sobre un suministro que ya no existe.

La cuenta real, dirección por dirección

La dirección emisora es 0xbd357b1b7cebf824b1fe4f1f5c71ac58ff1a70ba, en formato Harmony one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy. Su comportamiento durante tres horas y dieciséis minutos fue mecánico: paquetes de 10, 50 o 250 millones al principio, y luego tandas de 5.000 millones exactos por monedero, varias en el mismo bloque. La media por destino sale en 5.005.115.441 ONE.

Muestreé 35 de esos 534 monederos. Veinticuatro siguen con 4.900 millones o más encima, o sea que la mayor parte del botín está quieta y visible. Los que se vaciaron apuntan a direcciones de concentración: una de ellas acumula 40.054.663.042 ONE y otra 65.032.079.534. Ninguna de las dos está en la lista que el proyecto pide bloquear.

La lista de congelación cubre el 0,3%

Harmony publicó una petición a los exchanges con lo que llama cuatro monederos:

Pedimos a todos los exchanges que bloqueen y congelen los fondos que se remonten a estas 4 direcciones de monedero.

No son cuatro. Son dos, escritas dos veces cada una, en formato bech32 y en hexadecimal. Lo verifiqué decodificando yo mismo las direcciones one1: one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn es el mismo monedero que 0xe742…4510, y one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4 es 0xf722…efe5. La conversión coincide con los pares que el propio equipo publicó.

Esos dos monederos guardan ahora 10.112.304.376 ONE entre los dos, 7,84 millones de dólares al precio de esta mañana. Sobre los 3,29 billones identificados es el 0,307%. Y llegaron tarde por diseño: los dos recibieron sus 5.000 millones a las 05:31:45 y a las 05:31:51 UTC, con seis segundos de diferencia, en los bloques 92.740.989 y 92.740.992. Son los últimos dos servidos de una fila de 534. El proyecto está señalando el final de la cola.

Ya había pasado dos veces, y la escala no se parece

Harmony no es nueva en esto. En junio de 2022 le vaciaron el puente Horizon por unos 100 millones de dólares después de comprometer las claves privadas que lo controlaban, y el FBI atribuyó el robo al grupo Lazarus de Corea del Norte. En diciembre de 2023 un fallo en el sistema de staking creó 146,3 millones de ONE de más porque unas posiciones que debían dejar de cobrar siguieron cobrando; 74 direcciones estuvieron implicadas, una se quedó con 51,2 millones y unos 16,4 millones acabaron en un exchange. Aquella vez la red respondió con una actualización de emergencia y una lista negra.

Lo de hoy es 22.496 veces el episodio de 2023. Y la respuesta que se está discutiendo es la misma que se discutía anoche en otra cadena: Ravencoin acaba de reescribir setenta horas de historia tras aceptar bloques inválidos, y su retroceso ya está minado. Harmony dice que trabaja «en un parche y en opciones de retroceso». Dos cadenas en cuarenta y ocho horas planteándose deshacer bloques ya cerrados, cada una con su propio comité informal decidiendo qué historia cuenta. Es la misma discusión que dejó a los editores de Bitcoin saltándose su propio proceso hace dos días, con la diferencia de que aquí hay 3,29 billones de tokens esperando el resultado.

La otra cara: eso no se puede vender

Los 3,29 billones valen 2.552 millones de dólares a 0,00077533 dólares por token. Esa cifra es la prueba de que el botín es incobrable, no de lo contrario: equivale a 221 veces la capitalización entera del token y a 63 veces el volumen de las últimas 24 horas, que fue de 40,5 millones. El atacante necesita compradores, y los libros de órdenes de ONE mueven en un día bueno una fracción minúscula de lo que tiene en cartera. El precio ya hizo el trabajo: de 0,00124088 a 0,00057353 dólares en el día, un 53,8% entre máximo y mínimo, con el token a un 99,8% de su récord de 2021.

También hay que decir lo que no pude verificar. Mi cifra es un suelo, no un techo: la dirección que gastó 887 millones sin haberlos recibido demuestra que hubo al menos otra fuente de acuñación aparte de la que medí, así que puede haber más. No pude etiquetar qué destinos son direcciones de depósito de exchanges, de modo que el dato de terceros según el cual 2.800 millones de ONE llegaron a plataformas queda como afirmación ajena. Y si el retroceso se ejecuta, todos estos saldos desaparecen del libro, incluidos los legítimos de quien operó desde la medianoche. Según los mercados que registra CoinGecko, a las 08:16 UTC seguían cotizando ONE contra USDT KuCoin con 15,3 millones de volumen, Binance con 9,3, Gate con 4,1 y OKX con 3,0. La congelación depende de que esas casas se muevan, igual que dependió de Tether que se pararan los 27 millones de dólares de Garantex el año pasado.

Con información de: CoinDesk, The Block, Cointelegraph, cuenta de Harmony en X, RPC público de Harmony (api.harmony.one y 1rpc.io/one, bloque 92.745.859), CoinGecko.