Humanity Protocol twierdzi, że atakujący ukradł siedem kluczy z jednego urządzenia

Humanity Protocol zidentyfikował zainfekowaną złośliwym oprogramowaniem maszynę deweloperską jako źródło naruszenia bezpieczeństwa, które doprowadziło do kradzieży i nieautoryzowanego bicia około 447 milionów tokenów H w sieciach Ethereum i BNB Smart Chain.

Zgodnie z raportem dotyczącym incydentu opracowanym przez Humanity Protocol, atakujący uzyskał dostęp root do urządzenia deweloperskiego i zdobył siedem kluczy prywatnych, które zostały przypadkowo zarchiwizowane podczas uruchomienia mainnet projektu w czerwcu 2025 roku. 

Klucze obejmowały klucz administratora gorącego portfela, trzy klucze właścicieli Ethereum Safe oraz trzy klucze właścicieli BSC Safe, co dało atakującemu dostęp do krytycznej infrastruktury z jednej skompromitowanej maszyny.

Ustalenia te dostarczają nowych szczegółów na temat ataku, który wcześniej spowodował gwałtowny spadek wartości H, po którym nastąpiło częściowe odreagowanie. 10 czerwca token był notowany w okolicach 0,163 USD, co oznaczało wzrost o 23,7% w ciągu 24 godzin, choć nadal był w dół o 74,1% w stosunku do poprzedniego tygodnia po exploicie.

Humanity Protocol stwierdził, że incydent nie był spowodowany wadą w kontraktach mostów, kontraktach tokenów ani architekturze Safe. Zamiast tego atakujący użył ważnych kluczy prywatnych do autoryzacji transferów, transakcji Safe i aktualizacji kontraktów po uzyskaniu kontroli nad danymi uwierzytelniającymi.

Atakujący użył skradzionych kluczy, aby przejąć kontrolę nad mostem

Zgodnie z raportem, atak przebiegał w trzech oddzielnych działaniach między 8 a 9 czerwca.

Podczas pierwszej fali z administratorskiego gorącego portfela Ethereum wyprowadzono 6,04 miliona H po skompromitowaniu jego klucza prywatnego. Następnie atakujący skierował się przeciwko infrastrukturze mostów protokołu.

Używając trzech skradzionych kluczy z sześcioosobowego Ethereum Safe, atakujący przeniósł własność Bridge ProxyAdmin do portfela kontrolowanego przez atakującego. Po uzyskaniu kontroli administracyjnej atakujący zaktualizował most do złośliwej implementacji i wyprowadził 141,18 miliona H w jednej transakcji.

Humanity Protocol stwierdził, że transakcja zawierała podpisy niezbędne do spełnienia wymagań progowych Safe, co sprawiło, że aktualizacja wyglądała jak autoryzowane działanie, a nie exploit inteligentnego kontraktu.

W sieci BNB Smart Chain oddzielny zestaw trzech skompromitowanych kluczy Safe dał atakującemu kontrolę nad ProxyAdmin tokena. Po wdrożeniu złośliwej implementacji atakujący wykonał trzy transakcje bicia po 100 milionów H każda, zwiększając podaż tokena z około 141,1 miliona do 441,1 miliona H.

Śledztwo wskazuje na pojedynczy punkt kompromitacji

Podczas gdy aktywa mostu Ethereum zostały wyprowadzone, raport opisał token BSC jako nieodwracalnie utracony, ponieważ atakujący nadal kontroluje ProxyAdmin i może kontynuować bicie dodatkowych tokenów. Humanity Protocol poinformował, że atakujący zachowuje własność zarówno kontraktów administracji mostów, jak i tokenów, których dotyczy incydent.

Wcześniejsze ujawnienia ze strony projektu skupiały się na skompromitowanych urządzeniach pracowników i skradzionych kluczach Safe. Najnowsze ustalenia kryminalistyczne zawęziły przyczynę do jednej zainfekowanej złośliwym oprogramowaniem maszyny deweloperskiej, która przechowywała wiele wrażliwych kopii zapasowych. Zgodnie z raportem, śledczy uważają, że wszystkie siedem kluczy prywatnych zostało pozyskanych z tego jednego urządzenia.

Kilka pytań pozostaje bez odpowiedzi. Humanity Protocol stwierdził, że nie ustalił jeszcze, kiedy atakujący po raz pierwszy uzyskał dostęp, w jaki sposób maszyna została skompromitowana ani jak długo skradzione dane uwierzytelniające były przechowywane przed przeprowadzeniem ataku.

W odpowiedzi na incydent projekt wstrzymał depozyty i wypłaty przez dotknięte mosty, uruchomił publiczny tracker odzyskiwania oraz zaoferował nagrodę w wysokości 1 miliona USDT za informacje prowadzące do odzyskania aktywów. Humanity Protocol wcześniej stwierdził, że wszelkie odzyskane środki zostaną wykorzystane do odkupienia tokenów H.