Humanity Protocol divulgó que los atacantes robaron más de 36 millones de dólares en tokens H después de que una filtración de claves relacionada con la administración de puentes en Ethereum y BNB Chain quedara expuesta al comprometerse el portátil de un empleado. Tres de seis claves de propietarios de Gnosis Safe fueron comprometidas, lo que dio a los atacantes control para actualizar los contratos del puente a versiones maliciosas. En Ethereum, los atacantes drenaron alrededor de 141,2 millones de tokens H; en BNB Chain, acuñaron 200 millones de tokens H directamente a su propia billetera después de agregar una funcionalidad de creación ilimitada de tokens.
Los atacantes comprometieron tres claves de Gnosis Safe para controlar los contratos del puente
En una actualización del incidente, Humanity Protocol indicó que el ataque afectó al token H en ambas redes, Ethereum y BNB Chain. Se comprometieron tres de seis claves de propietario de Gnosis Safe, lo que proporcionó a los atacantes control suficiente para tomar la administración del puente. Una vez que obtuvieron el control, actualizaron los contratos del puente a versiones maliciosas.
En Ethereum, los atacantes drenaron alrededor de 141,2 millones de tokens H. En BNB Chain, agregaron una función que permite la creación ilimitada de tokens y luego acuñaron 200 millones de tokens H directamente a su propia billetera. El fundador de Humanity, Terence Kwok, dijo que el proyecto usó controles de multisig entre 4 individuos, pero que algunas claves pudieron haber sido expuestas durante la configuración. “Lo que creemos que ocurrió es que algunas de las claves se respaldaron por error en un dispositivo comprometido”, dijo Kwok.
El respaldo del portátil expuso varias claves de firma durante la configuración
Kwok dijo que Humanity utiliza un “custodio con licencia para la mayoría de la tesorería de tokens” y MPC para su tesorería de operaciones. Sin embargo, también indicó que “para ciertos contratos, las claves de multisig se configuraron en un solo lugar y luego se dispersaron”, dejando algunas claves respaldadas en un dispositivo comprometido.
La distinción importa porque la custodia de la tesorería y los controles operativos pueden parecer sólidos, pero la administración del puente puede seguir siendo vulnerable si los derechos de actualización del contrato, la autoridad de acuñación o los controles de emergencia dependen de claves expuestas. En este caso, los atacantes no solo movieron activos existentes: ellos cambiaron los contratos en sí y crearon nueva oferta de tokens en una sola cadena.
Los investigadores de blockchain cuestionaron inicialmente la actividad de creador de mercado
El token H cayó más de 85% después de que Humanity divulgara la filtración de la clave privada. El desplome generó escrutinio por parte de investigadores de blockchain, en parte porque algunos miembros de la comunidad cuestionaron si el ataque fue puramente externo o si estuvo conectado con una actividad inusual del token antes de un próximo desbloqueo.
El investigador de blockchain ZachXBT cuestionó inicialmente si el creador de mercado y la actividad OTC de Humanity estaban conectados con el exploit. Más tarde dijo que, tras un análisis adicional, la actividad del creador de mercado y OTC parecía ser independiente de la filtración de la clave privada.
El responsable de operaciones de seguridad en Cyvers, Hakan Unal, dijo que el comportamiento onchain puede parecer inicialmente similar en una compilación genuina y en un incidente simulado porque el atacante mantiene derechos de administración legítimos en ambos casos. “Lo que los distingue es el comportamiento que los rodea”, dijo Unal. “Un compromiso genuino normalmente muestra velocidad e improvisación: los fondos se envían a billeteras nuevas, intercambios a precios malos, uso de mezcladores y sin sincronización interna”.
Unal dijo que en cambio un incidente simulado podría mostrar una sincronización sospechosa cerca de desbloqueos o vesting, oferta concentrada, movimientos ordenados o fondos que eventualmente se reencaminan hacia direcciones vinculadas al equipo o creadores de mercado. “Ahora mismo la evidencia es mixta, por eso la pregunta sigue abierta”, agregó.
El líder de investigación de Allium Labs, Elton Shehdula, dijo que el patrón onchain del exploit apuntaba a una operación potencialmente planeada y coordinada, en lugar de un oportunista solitario. Dijo que las billeteras fueron financiadas desde un exchange y un mezclador con semanas de anticipación, que la autoridad de acuñación fue “activada” días antes del ataque, y que la venta se produjo en 2 cadenas al mismo tiempo. Shehdula dijo que la configuración era consistente con que fuera o bien un “insider o un actor externo” que había mantenido en silencio la clave comprometida durante algún tiempo.
Humanity Protocol detuvo los depósitos y retiros del puente
Humanity detuvo los depósitos y retiros hacia los puentes afectados y dijo que está trabajando con exchanges y partes relacionadas para reducir el daño y revisar opciones de recuperación. Kwok advirtió a los usuarios que no interactuaran con el puente ni con los pools de liquidez después de que se divulgara el compromiso.
Preguntas frecuentes
¿Cómo robaron 36 millones de dólares los atacantes a Humanity Protocol?
Los atacantes comprometieron tres de seis claves de propietario de Gnosis Safe a través del portátil de un empleado, obteniendo control de la administración del puente en Ethereum y BNB Chain. Actualizaron los contratos del puente a versiones maliciosas, drenaron 141,2 millones de tokens H en Ethereum y acuñaron 200 millones de tokens H en BNB Chain.
¿Por qué un portátil comprometido llevó a una crisis a nivel de protocolo?
El fundador de Humanity, Terence Kwok, dijo que algunas claves de multisig se configuraron en un solo lugar y luego se dispersaron, dejando claves respaldadas por accidente en un dispositivo comprometido. Esto permitió a los atacantes controlar los derechos de actualización del puente y la autoridad de acuñación, habilitándolos para cambiar contratos y crear nueva oferta de tokens.
¿Qué acciones tomó Humanity Protocol después del ataque?
Humanity detuvo los depósitos y retiros hacia los puentes afectados y afirmó que está trabajando con exchanges y partes relacionadas para reducir el daño y revisar opciones de recuperación. El protocolo advirtió a los usuarios que no interactuaran con el puente ni con los pools de liquidez después de que se divulgara el compromiso.
