Humanity Protocol a révélé qu'un attaquant a dérobé plus de 36 millions de dollars en tokens H après avoir compromis l'ordinateur portable d'un employé qui stockait plusieurs clés d'administration des bridges cross-chain du projet. La machine détenait trois des six clés Ethereum et trois des cinq clés BNB Chain qui gouvernaient les contrats du bridge — suffisamment pour franchir le seuil d'approbation multisignature sur les deux réseaux sans aucun signataire supplémentaire.
Une fois à l'intérieur, l'attaquant a transféré la propriété du bridge Ethereum vers son propre portefeuille, remplacé le code du contrat par une mise à jour malveillante et vidé environ 141 millions de H en une seule transaction. Sur BNB Chain, le même acteur a installé un contrat doté d'une fonction de mint illimitée et créé environ 200 millions de H supplémentaires, envoyant les nouveaux tokens directement à sa propre adresse.
Pourquoi c'est important
L'autopsie post-incident est la partie que le reste de la DeFi va lire. Le fondateur Terence Kwok a déclaré à CoinDesk que l'équipe avait correctement mis en place un multisig réparti entre quatre personnes — mais lors du déploiement, plusieurs de ces clés ont été sauvegardées sur un seul appareil compromis, réduisant à néant tout l'intérêt d'un multisig pour le transformer en un point de défaillance unique.
Humanity n'est pas une petite expérience non auditée. Le projet a levé 20 millions de dollars l'an dernier auprès de Pantera Capital et Jump Crypto, à une valorisation de 1,1 milliard de dollars. Qu'un projet d'identité très médiatisé et bien financé ait expédié les clés d'administration du bridge sur un seul ordinateur portable sera cité pendant des années dans les débats sur les normes de sécurité opérationnelle dans la DeFi.
Impact sur le marché
H a chuté de plus de 80 % en intraday, touchant un plus bas proche de cinq centimes, avant de se redresser à environ 20 centimes — toujours bien en dessous du niveau d'environ 67 centimes sur lequel il s'échangeait avant la brèche. L'enquêteur onchain ZachXBT a déclaré que la compromission des clés semble sans lien avec une série distincte d'opérations suspectes de market-making sur H précédant un important déblocage de tokens programmé, période pendant laquelle le cours était passé de 20 centimes à 70 centimes en deux semaines. Le projet a depuis retiré la page de son équipe, suspendu les dépôts et retraits sur le bridge, et coordonne avec les plateformes d'échange et les forces de l'ordre les opérations de récupération.
Questions fréquemment posées
-
Comment l'attaquant a-t-il vidé les bridges de Humanity Protocol ?
L'attaquant a compromis l'ordinateur portable d'un employé qui détenait trois des six clés d'administration Ethereum et trois des cinq clés BNB Chain du bridge, assez pour franchir le seuil multisig. Il a ensuite mis à niveau les contrats du bridge et vidé ~141 M de H sur Ethereum, puis minté ~200 M de H…
-
Pourquoi un seul ordinateur détenant des clés multisig pose-t-il problème ?
Les portefeuilles multisig sont conçus pour répartir les clés entre différentes personnes et appareils, afin qu'aucune machine isolée ne puisse déplacer les fonds. Stocker plusieurs clés de signature sur un seul appareil annule cette protection : une compromission unique suffit à franchir le seuil d'approbation et…
-
Qu'a déclaré le fondateur Terence Kwok sur la cause de la brèche ?
Kwok a déclaré à CoinDesk que l'équipe avait correctement mis en place un multisig réparti entre quatre personnes, mais que plusieurs clés avaient été sauvegardées par accident sur un appareil compromis lors du déploiement, laissant les clés accessibles depuis une seule machine.
-
Combien a-t-on volé et à combien se négocie le H actuellement ?
Plus de 36 M$ de H ont été dérobés. H a chuté de plus de 80 % en intraday jusqu'à environ cinq centimes et s'est depuis rétabli à environ 20 centimes, toujours bien en dessous du niveau d'environ 67 centimes sur lequel il s'échangeait avant la brèche.
-
Qui soutient Humanity Protocol et combien a-t-il levé ?
Humanity Protocol a levé 20 millions de dollars auprès de Pantera Capital et Jump Crypto l'an dernier, à une valorisation de 1,1 milliard de dollars. Le projet a depuis retiré la page de son équipe de son site web et coordonne avec les plateformes d'échange et les forces de l'ordre les opérations de récupération.
CoinTelegraph
CryptoSlate
Lookonchain
Crypto News
WuBlockchain