Humanity Protocol a révélé que des attaquants ont dérobé plus de 36 millions de dollars en tokens H après qu’une compromission de l’ordinateur portable d’un employé a exposé des clés liées à l’administration du bridge sur Ethereum et BNB Chain. Trois des six clés des propriétaires de Gnosis Safe ont été compromises, donnant aux attaquants le contrôle pour mettre à niveau les contrats de bridge vers des versions malveillantes. Sur Ethereum, les attaquants ont vidé environ 141,2 millions de tokens H ; sur BNB Chain, ils ont émis 200 millions de tokens H directement vers leur propre portefeuille après avoir ajouté une fonctionnalité de création illimitée de tokens.
Des attaquants ont compromis trois clés de Gnosis Safe pour contrôler les contrats de bridge
Dans une mise à jour de l’incident, Humanity Protocol a indiqué que l’attaque a touché le token H sur Ethereum et BNB Chain. Trois des six clés des propriétaires de Gnosis Safe ont été compromises, offrant aux attaquants un contrôle suffisant pour prendre en main l’administration du bridge. Une fois le contrôle obtenu, ils ont mis à niveau les contrats de bridge vers des versions malveillantes.
Sur Ethereum, les attaquants ont vidé environ 141,2 millions de tokens H. Sur BNB Chain, ils ont ajouté une fonction permettant la création illimitée de tokens, puis ont émis 200 millions de tokens H directement vers leur propre portefeuille. Le fondateur de Humanity, Terence Kwok, a déclaré que le projet utilisait des contrôles à signatures multiples (multisignature) entre 4 personnes, mais que certaines clés auraient pu être exposées durant la configuration. « Ce que nous pensons s’être passé, c’est que certaines des clés ont été sauvegardées par erreur sur un appareil compromis », a déclaré Kwok.
Une sauvegarde du laptop a exposé plusieurs clés de signature pendant la configuration
Kwok a déclaré que Humanity utilise « un dépositaire agréé pour la majorité de la trésorerie de tokens » et du MPC pour sa trésorerie de fonctionnement. Toutefois, il a aussi indiqué que « pour certains contrats, les clés multisig ont été configurées à un seul endroit puis dispersées », laissant certaines clés sauvegardées sur un appareil compromis.
La distinction compte car la garde de la trésorerie et les contrôles opérationnels peuvent sembler solides, mais l’administration du bridge peut rester vulnérable si les droits de mise à niveau du contrat, l’autorité d’émission ou les contrôles d’urgence dépendent de clés exposées. Dans ce cas, les attaquants n’ont pas seulement déplacé des actifs existants : ils ont modifié les contrats eux-mêmes et créé une nouvelle offre de tokens sur une chaîne.
Les enquêteurs blockchain ont d’abord remis en question l’activité de market maker
Le token H a chuté de plus de 85 % après que Humanity a divulgué la compromission de la clé privée. L’effondrement a suscité l’attention des enquêteurs blockchain, en partie parce que certains membres de la communauté se demandaient si l’attaque était purement externe ou liée à une activité de token inhabituelle avant un déverrouillage à venir.
L’enquêteur blockchain ZachXBT a d’abord remis en question le lien entre le market maker de Humanity et son activité de gré à gré (over-the-counter) et l’exploit. Il a ensuite déclaré qu’après une analyse plus poussée, le market maker et l’activité OTC semblaient indépendants de la compromission de la clé privée.
Le responsable des opérations de sécurité chez Cyvers, Hakan Unal, a déclaré que le comportement onchain peut initialement ressembler à une compromission réelle et à un incident mis en scène, car l’attaquant dispose dans les deux cas de droits d’administration légitimes. « Ce qui les distingue, c’est le comportement environnant », a déclaré Unal. « Une compromission réelle montre généralement de la rapidité et de l’improvisation : des fonds précipités vers de nouveaux portefeuilles, des échanges à de mauvaises valeurs, l’utilisation d’un mixer, et l’absence de synchronisation d’initiés. »
Unal a déclaré qu’un incident mis en scène pourrait plutôt montrer une synchronisation suspecte proche de déverrouillages ou d’acquisitions (vesting), une offre concentrée, des mouvements ordonnés, ou des produits qui finissent par être réorientés vers des adresses liées à l’équipe ou des market makers. « Pour l’instant, les preuves sont mitigées, c’est pourquoi la question reste ouverte », a-t-il ajouté.
Le responsable recherche d’Allium Labs, Elton Shehdula, a déclaré que le schéma onchain de l’exploit indiquait une opération potentiellement planifiée et coordonnée plutôt qu’une action isolée opportuniste. Il a déclaré que les portefeuilles ont été alimentés à partir d’un exchange et d’un mixer des semaines à l’avance, que l’autorité d’émission était « réchauffée » (warmed up) plusieurs jours avant l’attaque, et que la vente a eu lieu sur 2 chaînes au même moment. Shehdula a déclaré que la configuration était compatible avec soit un « initié ou un acteur externe » ayant conservé discrètement la clé compromise pendant un certain temps.
Humanity Protocol a suspendu les dépôts et retraits sur le bridge
Humanity a interrompu les dépôts et retraits vers les bridges concernés et a indiqué travailler avec les exchanges et les parties associées afin de réduire les dommages et d’examiner les options de récupération. Kwok a averti les utilisateurs de ne pas interagir avec le bridge ou les pools de liquidité après la divulgation de la compromission.
FAQ
Comment les attaquants ont-ils volé 36 millions de dollars à Humanity Protocol ?
Les attaquants ont compromis trois des six clés propriétaires de Gnosis Safe via l’ordinateur portable d’un employé, obtenant le contrôle de l’administration du bridge sur Ethereum et BNB Chain. Ils ont mis à niveau les contrats de bridge vers des versions malveillantes, vidé 141,2 millions de tokens H sur Ethereum, et émis 200 millions de tokens H sur BNB Chain.
Pourquoi un seul ordinateur portable compromis a-t-il mené à une crise au niveau du protocole ?
Le fondateur de Humanity, Terence Kwok, a déclaré que certaines clés multisig avaient été configurées à un seul endroit puis dispersées, laissant des clés sauvegardées par erreur sur un appareil compromis. Cela a permis aux attaquants de contrôler les droits de mise à niveau du bridge et l’autorité d’émission, leur donnant la possibilité de modifier les contrats et de créer une nouvelle offre de tokens.
Quelles actions a menées Humanity Protocol après l’attaque ?
Humanity a interrompu les dépôts et retraits vers les bridges concernés et a indiqué travailler avec les exchanges et les parties associées afin de réduire les dommages et d’examiner les options de récupération. Le protocole a averti les utilisateurs de ne pas interagir avec le bridge ou les pools de liquidité après la divulgation de la compromission.
