O Humanity Protocol revelou que os atacantes roubaram mais de 36 milhões de dólares em tokens H depois de uma violação do portátil de um empregado ter exposto chaves ligadas à administração da ponte no Ethereum e na BNB Chain. Três das seis chaves dos proprietários do Gnosis Safe foram comprometidas, dando aos atacantes controlo para atualizar os contratos da ponte para versões maliciosas. No Ethereum, os atacantes descarregaram cerca de 141,2 milhões de tokens H; na BNB Chain, cunharam 200 milhões de tokens H diretamente para a sua carteira após adicionarem a funcionalidade de criação ilimitada de tokens.
Atacantes Comprometeram Três Chaves do Gnosis Safe para Controlar Contratos de Ponte
Num ponto de situação do incidente, o Humanity Protocol afirmou que o ataque afetou o token H em ambas as redes, Ethereum e BNB Chain. Três das seis chaves de proprietário do Gnosis Safe foram comprometidas, proporcionando aos atacantes controlo suficiente para assumirem a administração da ponte. Assim que esse controlo foi obtido, atualizaram os contratos da ponte para versões maliciosas.
No Ethereum, os atacantes descarregaram cerca de 141,2 milhões de tokens H. Na BNB Chain, adicionaram uma função que permitia a criação ilimitada de tokens e, depois, cunharam 200 milhões de tokens H diretamente para a sua própria carteira. O fundador do Humanity, Terence Kwok, disse que o projeto usou controlos de multisig entre 4 indivíduos, mas que algumas chaves poderão ter sido expostas durante a configuração. "Aquilo em que acreditamos que aconteceu foi que algumas das chaves foram acidentalmente guardadas de cópia de segurança para um dispositivo comprometido", disse Kwok.
Cópia de Segurança do Portátil Exposta Múltiplas Chaves de Assinatura Durante a Configuração
Kwok disse que a Humanity usa "um custodiante licenciado para a maior parte do tesouro de tokens" e MPC para o tesouro das suas operações. Contudo, também afirmou que "para certos contratos, as chaves do multisig foram configuradas num sítio e depois dispersadas", deixando algumas chaves guardadas de cópia de segurança num dispositivo comprometido.
A distinção importa porque a custódia do tesouro e os controlos operacionais podem parecer fortes, mas a administração da ponte pode continuar vulnerável se os direitos de atualização do contrato, a autoridade de cunhagem ou os controlos de emergência dependerem de chaves expostas. Neste caso, os atacantes não se limitaram a mover ativos existentes — alteraram eles próprios os contratos e criaram nova oferta de tokens numa das cadeias.
Investigadores da Blockchain Questionaram Inicialmente a Atividade de Market-Maker
O token H caiu mais de 85% depois de o Humanity ter divulgado a violação da chave privada. A queda gerou escrutínio por parte de investigadores de blockchain, em parte porque alguns membros da comunidade questionaram se o ataque foi puramente externo ou se estava ligado a uma atividade incomum do token antes de um desbloqueio iminente.
O investigador de blockchain ZachXBT colocou inicialmente em causa se o market maker da Humanity e a atividade no mercado de balcão (OTC) estavam ligados ao exploit. Mais tarde, disse que após uma análise adicional, a atividade do market-maker e OTC parecia ser independente da violação da chave privada.
Hakan Unal, líder de operações de segurança na Cyvers, disse que o comportamento onchain pode inicialmente parecer semelhante em uma violação genuína e num incidente encenado, porque o atacante detém direitos administrativos legítimos em ambos os casos. "O que os distingue é o comportamento envolvente", disse Unal. "Uma violação genuína costuma mostrar rapidez e improvisação: fundos enviados para carteiras recentes, swaps a maus preços, uso de mixers e ausência de temporização por parte de insiders."
Unal disse que, em vez disso, um incidente encenado pode mostrar temporização suspeita perto de desbloqueios ou vesting, oferta concentrada, movimentação metódica, ou resultados que acabam por voltar a endereços ligados à equipa ou a market makers. "Neste momento, as provas são mistas, é por isso que a questão continua em aberto", acrescentou.
Elton Shehdula, líder de investigação na Allium Labs, disse que o padrão onchain do exploit apontava para uma operação potencialmente planeada e coordenada, em vez de um oportunista isolado. Disse que as carteiras foram financiadas a partir de uma exchange e de um mixer semanas antes, a autoridade de cunhagem foi "preparada" dias antes do ataque, e a venda ocorreu em 2 cadeias ao mesmo tempo. Shehdula disse que a configuração era consistente tanto com "um insider ou um ator externo" que tinha mantido silenciosamente a chave comprometida durante algum tempo.
Humanity Protocol Interrompeu Depósitos e Levantamentos na Ponte
A Humanity suspendeu depósitos e levantamentos para as pontes afetadas e disse que está a trabalhar com exchanges e partes relacionadas para reduzir danos e rever opções de recuperação. Kwok alertou os utilizadores para não interagirem com a ponte nem com os pools de liquidez depois de a violação ter sido divulgada.
FAQ
Como é que os atacantes roubaram 36 milhões de dólares da Humanity Protocol?
Os atacantes comprometeram três das seis chaves de proprietário do Gnosis Safe através do portátil de um empregado, ganhando controlo sobre a administração da ponte no Ethereum e na BNB Chain. Atualizaram os contratos de ponte para versões maliciosas, descarregaram 141,2 milhões de tokens H no Ethereum e cunharam 200 milhões de tokens H na BNB Chain.
Porque é que um portátil comprometido levou a uma crise ao nível do protocolo?
O fundador da Humanity, Terence Kwok, disse que algumas chaves do multisig foram configuradas num só lugar e depois dispersas, deixando chaves guardadas de cópia de segurança acidentalmente num dispositivo comprometido. Isto permitiu aos atacantes controlar direitos de atualização da ponte e a autoridade de cunhagem, permitindo-lhes alterar contratos e criar nova oferta de tokens.
Que ações tomou a Humanity Protocol após o ataque?
A Humanity suspendeu depósitos e levantamentos para as pontes afetadas e afirmou que está a trabalhar com exchanges e partes relacionadas para reduzir danos e rever opções de recuperação. O protocolo avisou os utilizadores para não interagirem com a ponte nem com os pools de liquidez depois de a violação ter sido divulgada.
