Hackeo de Humanity Protocol drena $36M después de que un portátil comprometido expone claves del puente

Humanity Protocol perdió más de 36 millones de dólares en tokens H el 8 de junio después de que un hacker comprometiera la computadora portátil de un empleado y tomara el control del puente entre cadenas del proyecto. El atacante controló tres de seis claves de Ethereum y tres de cinco claves de BNB Chain, drenó aproximadamente 141,2 millones de tokens H y acuñó cerca de 200 millones de tokens nuevos antes de que el equipo respondiera. La brecha aprovechó un endpoint comprometido donde se almacenaban varias claves de firma del puente, lo que permitió al hacker transferir la propiedad de los contratos del puente e instalar código malicioso.

Hacker toma el control del puente y drena 141,2 millones de tokens H

El ataque afectó tanto a Ethereum como a BNB Chain en una operación coordinada. En Ethereum, el hacker controló tres de seis claves del propietario de Gnosis Safe; en BNB Chain, tres de cinco. Ese umbral fue suficiente para transferir la propiedad de los contratos del puente a una billetera controlada por el atacante y cambiar el código del puente por una versión maliciosa.

Con el control establecido, el atacante drenó unos 141,2 millones de tokens H en una sola transacción de Ethereum. En BNB Chain, el hacker instaló código que contenía una función de acuñación ilimitada y creó aproximadamente 200 millones de tokens H nuevos directamente en su propia billetera. La firma de seguridad Blockaid identificó que el atacante obtuvo derechos de proxy administrator y acuñó el suministro adicional.

El token H cae 85% mientras Humanity Protocol detiene el puente

El token H colapsó tras la brecha, cayendo desde un máximo del lunes cerca de 0,73 dólares hasta mínimos alrededor de 0,12, más del 85%. Humanity Protocol detuvo todos los depósitos y retiros del puente. El equipo está coordinando con exchanges, socios de seguridad y fuerzas del orden para la investigación y la recuperación de activos, con un post-mortem completo prometido.

El CEO confirma la brecha en el endpoint; investigadores descartan robo interno

El fundador y director ejecutivo de Humanity Protocol, Terence Kwok, confirmó que la causa fue un endpoint comprometido, no una falla del contrato inteligente. “Esto fue el resultado de una brecha que ocurrió después de que la computadora portátil de un empleado fuera comprometida”, dijo Kwok. El equipo configuró su multisig con cuatro personas, pero Kwok indicó que el equipo sospecha que algunas de las claves de firma se respaldaron accidentalmente en el mismo dispositivo comprometido durante la configuración; es decir, un endpoint expuso múltiples aprobaciones que un multisig está diseñado para mantener separadas.

El investigador on-chain ZachXBT y el analista Specter rastrearon los fondos robados y descartaron el robo interno.

FAQ

¿Qué pasó con Humanity Protocol el 8 de junio?
Un hacker comprometió la computadora portátil de un empleado, tomó el control del puente entre cadenas del proyecto al obtener tres de seis claves de Ethereum y tres de cinco claves de BNB Chain, drenó aproximadamente 141,2 millones de tokens H y acuñó cerca de 200 millones de tokens nuevos.

¿Por qué el precio del token H se desplomó después del hack?
El token H cayó más del 85%, desde un máximo del lunes cerca de 0,73 dólares hasta mínimos alrededor de 0,12, después de que se divulgara la brecha y Humanity Protocol detuviera todos los depósitos y retiros del puente.

¿Cómo logró el atacante obtener el control de las claves del puente?
El CEO Terence Kwok confirmó que la brecha fue consecuencia de una computadora portátil de un empleado comprometida. El equipo sospecha que múltiples claves de firma del puente se respaldaron accidentalmente en el mismo dispositivo comprometido durante la configuración del multisig, exponiendo aprobaciones que deberían haberse mantenido separadas.