Humanity Protocol reveló que un atacante robó más de $36 millones en tokens H tras comprometer el portátil de un empleado que almacenaba varias claves de administración de los puentes cross-chain del proyecto. La máquina guardaba tres de las seis claves de Ethereum y tres de las cinco de BNB Chain que regían los contratos del puente — suficientes para alcanzar el umbral de aprobación multisig en ambas redes sin la participación de ningún firmante adicional.
Una vez dentro, el atacante transfirió la propiedad del puente de Ethereum a su propio monedero, sustituyó el código del contrato por una actualización maliciosa y vació aproximadamente 141 millones de H en una sola transacción. En BNB Chain, el mismo actor desplegó un contrato con una función de acuñación ilimitada y creó unos 200 millones de H adicionales, enviando los nuevos tokens directamente a su propia dirección.
Por qué importa
El post-mortem es la parte que leerá el resto de DeFi. El fundador Terence Kwok declaró a CoinDesk que el equipo había configurado correctamente un multisig entre cuatro personas — pero durante el despliegue, varias de esas claves se respaldaron en un único dispositivo comprometido, colapsando toda la finalidad de un multisig en un único punto de fallo.
Humanity no es un experimento pequeño y sin auditoría. El proyecto recaudó $20 millones el año pasado de Pantera Capital y Jump Crypto con una valoración de $1.100 millones. Que un proyecto de identidad de alto perfil y bien capitalizado enviase las claves de administración del puente a un solo portátil se citará durante años en los debates sobre estándares de seguridad operativa en DeFi.
Impacto en el mercado
H cayó más de un 80% en la sesión, tocando fondo cerca de los cinco centavos, antes de recuperarse hasta aproximadamente 20 centavos — aún muy por debajo del nivel de ~67 centavos al que cotizaba antes de la brecha. El investigador onchain ZachXBT señaló que el compromiso de las claves parece desconectado de una ronda separada de market-making sospechoso en H previa a un gran desbloqueo de tokens programado, durante el cual el precio pasó de 20 a 70 centavos en dos semanas. El proyecto ha retirado desde entonces la página del equipo, ha detenido depósitos y retiradas del puente, y está coordinando con exchanges y las fuerzas de seguridad para la recuperación.
Preguntas frecuentes
-
¿Cómo logró el atacante vaciar los puentes de Humanity Protocol?
El atacante comprometió un portátil de un empleado que guardaba tres de las seis claves de Ethereum y tres de las cinco de BNB Chain del puente, suficientes para alcanzar el umbral multisig. Después actualizó los contratos del puente y vació ~141M H en Ethereum, y acuñó ~200M H nuevos en BNB Chain.
-
¿Por qué es un problema que un solo portátil guarde las claves del multisig?
Los monederos multisig están diseñados para repartir las claves entre distintas personas y dispositivos, de modo que ninguna máquina pueda mover fondos por sí sola. Almacenar varias claves de firma en un único dispositivo anula esa defensa — un solo compromiso cruza el umbral de aprobación y derrota toda la finalidad…
-
¿Qué dijo el fundador Terence Kwok sobre la causa de la brecha?
Kwok declaró a CoinDesk que el equipo había configurado correctamente un multisig entre cuatro personas, pero varias claves se respaldaron por error en un dispositivo comprometido durante el despliegue, dejando las claves accesibles desde una sola máquina.
-
¿Cuánto se robó y a cuánto cotiza H ahora?
Se llevaron más de $36M en H. H cayó más de un 80% en la sesión hasta unos cinco centavos y desde entonces se ha recuperado hasta aproximadamente 20 centavos, aún muy por debajo del nivel de ~67 centavos al que cotizaba antes de la brecha.
-
¿Quién respalda a Humanity Protocol y cuánto recaudó?
Humanity Protocol recaudó $20 millones de Pantera Capital y Jump Crypto el año pasado con una valoración de $1.100 millones. El proyecto ha retirado desde entonces la página del equipo de su web y está coordinando con exchanges y las fuerzas de seguridad para la recuperación.
CryptoSlate
Lookonchain
CoinTelegraph
WuBlockchain