原创 币润研报 | Harmony单币增发26%与Coreum跨链桥失窃：2025年安全叙事再临至暗时刻

【核心观点】

• 双线失守暴露基建脆弱性：Harmony公链通过空块绕过共识增发约40亿枚ONE（占总供应量约26%），Coreum跨链桥因存款验证逻辑漏洞被盗约20万枚XRP（约20万美元），两起事件同日内发生并非巧合。
• 跨链桥已成高危重灾区：Coreum攻击手法——伪造存款余额触发真实提款——是2022年Ronin Bridge被黑（6.25亿美元）的经典模式复刻，桥接协议的安全设计仍未跨越"信任最小化"门槛。
• 增发型攻击的危害远超盗币：Harmony的26%代币凭空铸造属于供应链级别灾难，等同于"印钞机被劫持"，即便交易所拦截部分资金，链上抛压与市场恐慌的双重冲击几乎不可避免。
• 机构入场潮与基建烂尾的反差：同日SBF 25年监禁定谳、贝莱德将BTC实物申购IBIT门槛降至100万美元，机构化叙事正酣，但底层公链与桥的安全仍停留在2021-2022年的攻防水平。

【事件与背景】

过去24小时，加密行业安全领域接连拉响两声红色警报。

第一起是Harmony公链的灾难级漏洞。据链上分析师Juiceberg报告，Harmony Layer1通过"空块"（empty block）技术绕过共识验证，未经授权增发了约40亿枚ONE代币，占总供应量约26%。Harmony官方随后回应称正与多家交易所合作拦截冻结资金，并紧急开发补丁。这种"无中生有"的增发攻击，在区块链安全史上属于最严重级别——它直接破坏了协议的经济模型，等同于央行被黑客接管了印钞权。Harmony上一次被大规模攻击是2022年6月的Horizon跨链桥事件，损失1亿美元，此后项目长期沉寂，安全投入与社区活跃度持续走低。

第二起是Coreum跨链桥的存款验证漏洞。攻击者利用桥协议存款环节的验证缺陷，创建虚假余额后触发真实提款，成功窃取约20万枚XRP（按当前$XRP=$1.0228价格计算约20.5万美元）。Coreum是基于Cosmos SDK构建的L1，定位为机构级金融基础设施，此漏洞暴露出其在跨链资产映射上的设计缺陷。

值得注意的是，这两起事件发生在SBF上诉被驳回、25年监禁与110亿美元没收令定谳的同一天（第二巡回法院维持原判）。SBF案的尘埃落定本应成为行业"去杠杆化"的里程碑，但同日频发的安全事件提醒市场：监管清算只是行业风险的一个切面，技术性风险从未离场。

【数据透视】

将这两起事件放在当前市场坐标系中审视，矛盾的信号愈发刺眼。

机构端的热度——SEC周五将推出代币化证券"创新豁免"，为代币化股票的全天候交易铺路；贝莱德将BTC实物换购IBIT的门槛降至100万美元；eToro拟以2.31亿美元收购美国经纪商TradeZero；FTX破产钱包将约20.178万枚SOL（约1520万美元）转入BitGo托管，或将用于债权人赔付。

基建端的脆弱——Harmony增发40亿枚ONE（占总量26%）；Coreum被盗20万枚XRP；24小时内两起事件合计涉及"账面价值"超4亿美元（按ONE历史高点粗估）。

行情数据方面，BTC报$64,030.7（24h -0.33%），ETH报$1,903.32（24h +1.04%），XRP报$1.0228（24h +1.65%，近两年来首次跌破1美元后小幅反弹）。XRP的价格异动与Coreum被盗事件形成微妙共振——Coreum本身定位为XRP Ledger的机构级延伸，桥接漏洞直接冲击XRP生态信心。

关键比率：Harmony事件中，被增发代币占总量的26%，远超历史上多数DeFi漏洞的损失比例（通常为TVL的个位数百分比）。Coreum被盗金额虽然"仅"20万美元，但攻击手法的"教科书级"——伪造余额触发提款——预示着该漏洞可能影响更多未公开的小型桥。

【多空博弈】

看多逻辑

1. 危机驱动迭代：每次重大安全事件都迫使行业升级标准。Harmony增发攻击将推动PoS链强化出块验证逻辑（如EIP-3675类规范），Coreum漏洞将促使跨链桥广泛采用零知识证明或乐观证明替代简单签名验证。
2. 机构托管需求加速：eToro收购TradeZero、贝莱德降门槛、BitGo承接FTX偿债资产——链上风险事件反而强化了"专业托管优于自托管"的叙事，机构级MPC与多重签名服务将获得溢价。
3. 监管套利窗口收窄：SEC周五的代币化豁免若落地，合法化路径将迫使"野生项目"出清，长期看有利于行业头部化与安全标准统一。

看空/风险因素

1. 跨链桥已成系统性风险敞口：Coreum攻击手法与Ronin（6.25亿美元）、Wormhole（3.25亿美元）、Nomad（1.9亿美元）如出一辙，桥接协议累计损失已超20亿美元，而TVL仍在千亿级别，风险收益比极不对称。
2. PoS长尾链的死亡螺旋：Harmony增发26%代币后，即便官方冻结部分资金，链上信用已崩盘，ONE价格短期承压将引发流动性出逃——一个没有持续开发资源的PoS链，在重大攻击后几乎不可能完成社区重建。
3. XRP生态的连带阴影：XRP刚刚跌破近两年来的1美元心理关口，Coreum作为其"机构延伸"被攻击，可能影响市场对整个XRP Ledger生态安全性的评估，尤其在Ripple追求RLUSD稳定币与机构合作的当口。

【币润观点】

币润研究院认为，2025年下半场的加密市场正在上演"机构化加速 vs 基建脆弱"的典型分裂。SBF 25年定谳、SEC代币化豁免、贝莱德门槛下调——这些信号指向主流化的纵深推进；但Harmony的26%增发与Coreum的桥接漏洞则提醒我们：底层基础设施的安全成熟度，远未跟上机构资金涌入的速度。

从产业链利润分配角度看，安全审计公司、链上监控服务商、机构级托管商（如BitGo）将持续受益于"风险事件频发"的逆向催化；而被攻击的项目方、长期无人维护的"僵尸桥"、安全预算不足的长尾PoS链将加速出清。这一过程虽然痛苦，却是行业从"投机驱动"向"基建驱动"转型的必经之路。

后续观察指标：

1. Harmony增发资金的链上追踪：40亿枚ONE若进入交易所抛售，将引发ONE价格闪崩，关注链上分析师的实时追踪。
2. Coreum攻击者地址动向：被盗XRP若通过混币器或跨链桥转移，可能预示更大规模的协同攻击。
3. SEC周五代币化豁免的细则：豁免的具体范围与发行门槛，将决定机构入场速度。
4. XRP能否企稳1美元：Coreum事件后XRP生态信心受冲击，关注$1关口的攻防。
5. BitGo承接FTX资产的节奏：1520万美元SOL仅是开始，后续偿付规模与时间表将影响SOL盘面供需。

【风险提示】

本报告基于公开信息分析，不构成投资建议。加密资产波动剧烈，请理性投资。