Der Untersuchungsbericht von Humanity Protocol zum Angriff vom 8. Juni führt die Sicherheitsverletzung auf eine einzige kompromittierte Entwicklermaschine zurück, nicht auf eine Contract-Schwachstelle. Malware auf dem Gerät verschaffte dem Angreifer vollen Root-Zugriff, und sieben Private Keys waren während des Mainnet-Launchs des Projekts um Juni 2025 versehentlich auf dieser Maschine gesichert worden.
Warum es relevant ist
Die von dem einen Gerät offengelegten Keys umfassten den Admin-Hot-Wallet-Key, drei Ethereum-Safe-Owner-Keys und drei BSC-Safe-Owner-Keys — ein vollständiger Ownership-Satz für die Cross-Chain-Treasury des Protokolls. Da der Angreifer im Besitz legitimer Keys war, war jede folgende Transaktion, jeder Safe-Vorgang und jedes Proxy-Upgrade on-chain gültig: Die eigene Untersuchung des Protokolls schließt explizit einen Smart-Contract-Bug im Bridge-, Token- oder Safe-Contract aus.
Auswirkungen auf den Markt
Die Gesamtverluste überstiegen 31 Mio. $. Die Ursache liest sich als operativer Sicherheitsfehler, nicht als Code-Exploit: Entwickler, die produktives Schlüsselmaterial auf einer Workstation speichern, die infiziert werden kann. Die Verwahrungskette wurde leergesaugt, und keine noch so gründliche Contract-Audit hätte das entdecken können.
Source: [Notion | Where teams and agents work together](https://app.notion.com)
Häufig gestellte Fragen
-
War der Angriff auf Humanity Protocol am 8. Juni ein Smart-Contract-Exploit?
Nein. Der Untersuchungsbericht des Protokolls schließt einen Contract-Bug aus — der Bridge-, Token- und Safe-Contract verhielt sich wie vorgesehen. Der Angreifer nutzte legitim erlangte Private Keys von einem kompromittierten Gerät.
-
Wie konnte der Angreifer sieben Private Keys von einem einzigen Gerät erlangen?
Eine Entwicklermaschine war mit Malware infiziert, was dem Angreifer vollen Root-Zugriff verschaffte. Sieben Keys — der Admin-Hot-Wallet-Key, drei Ethereum-Safe-Owner-Keys und drei BSC-Safe-Owner-Keys — waren während des Mainnet-Launchs um Juni 2025 versehentlich auf diesem Gerät gesichert worden.
-
Wie viel wurde beim Angriff auf Humanity Protocol gestohlen?
Die Verluste überstiegen 31 Mio. $. Der Bericht des Protokolls schlüsselt die Summe nicht nach Chain auf.
-
Warum konnte die On-Chain-Aktivität nicht als verdächtig erkannt werden?
Jede Transaktion, jeder Safe-Vorgang und jedes Proxy-Upgrade wurde mit legitimen Private Keys autorisiert. Für die Contracts und für Block-Explorer wirkte die Aktivität des Angreifers identisch zu autorisierten Protokoll-Operationen.
-
Was ist die wichtigste Lehre aus dem Post-Mortem von Humanity Protocol?
Produktive Private Keys gehören niemals auf eine Entwickler-Workstation, die für Malware erreichbar ist. Die Verwahrungskette für Schlüsselmaterial — nicht der Contract-Code — war die Angriffsfläche, und keine Menge an Smart-Contract-Audits hätte dies verhindert.
TheBlock
CryptoSlate
CoinTelegraph
CoinDesk
Glassnode
Lookonchain