Humanity Protocol hat offengelegt, dass ein Angreifer H-Tokens im Wert von mehr als 36 Mio. $ erbeutet hat, nachdem er einen Laptop eines Mitarbeiters kompromittiert hatte, auf dem mehrere Admin-Keys der Cross-Chain-Bridges des Projekts gespeichert waren. Auf dem Gerät befanden sich drei der sechs Ethereum-Keys sowie drei der fünf BNB-Chain-Keys, die die Bridge-Verträge verwalteten — genug, um die Multisignature-Freigabeschwelle auf beiden Netzwerken ohne weitere Signatur zu überschreiten.
Nach dem Zugriff übertrug der Angreifer die Ownership der Ethereum-Bridge auf seine eigene Wallet, tauschte den Vertragscode gegen ein bösartiges Upgrade aus und leerte rund 141 Millionen H in einer einzigen Transaktion. Auf der BNB Chain installierte derselbe Akteur einen Vertrag mit einer unbegrenzten Mint-Funktion und erzeugte etwa 200 Millionen zusätzliche H, die er direkt an seine eigene Adresse überwies.
Warum das wichtig ist
Den Post-Mortem wird der Rest von DeFi aufmerksam lesen. Gründer Terence Kwok erklärte gegenüber CoinDesk, das Team habe ein Multisig über vier Personen korrekt eingerichtet — doch beim Deployment seien mehrere dieser Keys auf einem einzigen kompromittierten Gerät gesichert worden, wodurch der gesamte Sinn eines Multisigs auf einen einzigen Fehlerpunkt kollabierte.
Humanity ist kein kleines, ungeprüftes Experiment. Das Projekt hatte im vergangenen Jahr 20 Mio. $ von Pantera Capital und Jump Crypto bei einer Bewertung von 1,1 Mrd. $ eingesammelt. Dass ein hochkarätiges, gut kapitalisiertes Identitätsprojekt Bridge-Admin-Keys auf einem einzigen Laptop ausliefert, wird jahrelang in den Debatten über operative Sicherheitsstandards in DeFi zitiert werden.
Marktauswirkungen
H brach im Tagesverlauf um mehr als 80 % ein und markierte bei rund fünf Cent einen Boden, bevor sich der Kurs auf etwa 20 Cent erholte — weiter deutlich unter dem Niveau von rund 67 Cent vor dem Vorfall. Onchain-Ermittler ZachXBT erklärte, der Key-Kompromitt erscheine nicht mit einer separaten Runde verdächtigen Market-Makings in H im Vorfeld eines großen geplanten Token-Unlocks verbunden zu sein, während dessen der Kurs innerhalb von zwei Wochen von 20 auf 70 Cent gestiegen war. Das Projekt hat inzwischen seine Team-Seite offline genommen, Bridge-Einzahlungen und -Auszahlungen gestoppt und koordiniert mit Börsen und Strafverfolgungsbehörden die Recovery.
Häufig gestellte Fragen
-
Wie konnte der Angreifer die Bridges von Humanity Protocol leeren?
Der Angreifer kompromittierte einen Mitarbeiter-Laptop, auf dem drei von sechs Ethereum- und drei von fünf BNB-Chain-Bridge-Admin-Keys gespeichert waren — genug, um die Multisig-Schwelle zu überschreiten. Anschließend upgrade er die Bridge-Verträge, leerte ~141 Mio. H auf Ethereum und mintete ~200 Mio. neue H auf der…
-
Warum ist es ein Problem, wenn ein einzelner Laptop Multisig-Keys hält?
Multisig-Wallets sollen Keys auf verschiedene Personen und Geräte verteilen, damit keine einzelne Maschine Gelder bewegen kann. Werden mehrere Signatur-Keys auf einem Gerät gespeichert, fällt diese Absicherung weg — eine einzige Kompromittierung überschreitet die Freigabeschwelle und entwertet den gesamten Zweck eines…
-
Was erklärte Gründer Terence Kwok als Ursache des Vorfalls?
Kwok sagte CoinDesk, das Team habe das Multisig über vier Personen korrekt eingerichtet, doch mehrere Keys seien beim Deployment versehentlich auf einem kompromittierten Gerät gesichert worden, sodass die Keys von einer Maschine aus zugänglich waren.
-
Wie viel wurde gestohlen und wie notiert H aktuell?
Es wurden H im Wert von mehr als 36 Mio. $ entwendet. H verlor im Tagesverlauf mehr als 80 % auf rund fünf Cent und hat sich seitdem auf etwa 20 Cent erholt, weiter deutlich unter dem Niveau von ~67 Cent vor dem Hack.
-
Wer steht hinter Humanity Protocol und wie viel wurde eingesammelt?
Humanity Protocol sammelte im vergangenen Jahr 20 Mio. $ von Pantera Capital und Jump Crypto bei einer Bewertung von 1,1 Mrd. $ ein. Das Projekt hat inzwischen seine Team-Seite von der Website entfernt und koordiniert die Recovery mit Börsen und Strafverfolgungsbehörden.
CryptoSlate
Crypto News
TheBlock
WuBlockchain