Humanity Protocol a publié un rapport d'enquête confirmant que l'attaque du 8 juin provenait d'une seule machine de développeur compromise, infectée par un logiciel malveillant, qui a accordé à l'attaquant un accès root complet. Sept clés privées avaient été stockées par inadvertance sur cet appareil lors du lancement du mainnet du projet en juin 2025 — y compris la clé du portefeuille chaud administrateur, trois clés de propriétaire Ethereum Safe et trois clés de propriétaire BSC Safe — donnant à l'attaquant un contrôle total à partir d'un point de défaillance unique. Le protocole avait précédemment divulgué des pertes dépassant 31 millions de dollars à la suite de cet incident.
Pourquoi c'est important
L'enquête a explicitement exclu une exploitation de contrat intelligent : il n'y avait pas de bug dans le pont, le contrat de jeton ou l'implémentation de Safe. Chaque transfert, transaction Safe et mise à niveau de proxy exécutée par l'attaquant a été autorisée à l'aide de clés privées légitimes. Cette distinction est extrêmement importante pour la façon dont l'industrie interprète cela — le vecteur d'attaque était la sécurité opérationnelle, pas le code. Un seul ordinateur portable de développeur est devenu la clé maîtresse d'un trésor de plus de 31 millions de dollars parce que les clés privées y avaient été sauvegardées pendant une période de lancement de mainnet sous pression.
Impact sur le marché
Pour les investisseurs et les équipes de protocole, la leçon est structurelle : les modules de sécurité matériels, les cérémonies de clés isolées et la séparation stricte de l'autorité de signature ne sont pas optionnels à l'échelle du mainnet. L'incident de Humanity Protocol rejoint une liste croissante de pertes à neuf chiffres attribuées à des échecs de gestion des clés plutôt qu'à des bugs de contrat intelligent, renforçant la pression réglementaire sur les projets crypto pour démontrer des pratiques de garde de niveau institutionnel avant le lancement.
Questions fréquemment posées
-
Pourquoi sept clés privées ont-elles été stockées sur une seule machine de développeur ?
Les clés ont été sauvegardées par inadvertance sur l'appareil lors du lancement du mainnet de Humanity Protocol autour de juin 2025, une période de forte pression où il semble que des procédures strictes de gestion des clés n'aient pas été suivies.
-
Le pont ou le code de contrat intelligent de Humanity Protocol était-il vulnérable ?
Non. L'enquête a confirmé qu'il n'y avait pas de bug dans le pont, le contrat de jeton ou Safe. Toutes les transactions de l'attaquant ont été autorisées à l'aide de clés privées légitimes obtenues à partir de l'appareil compromis.
-
Combien Humanity Protocol a-t-il perdu lors de l'attaque du 8 juin ?
Le protocole avait précédemment divulgué des pertes dépassant 31 millions de dollars, désormais confirmées comme résultant entièrement des sept clés privées extraites d'une machine de développeur infectée par un logiciel malveillant.
TheBlock
CryptoSlate
CoinDesk
Crypto Rank News
CoinTelegraph