Humanity Protocolは6月8日に、ハッカーが従業員のラップトップを侵害してプロジェクトのクロスチェーンブリッジを掌握した後、Hトークンで3,600万ドル超を失いました。攻撃者は6つのEthereumキーのうち3つ、5つのBNB Chainキーのうち3つを支配し、約1億4,120万Hトークンを流出させ、チームが対応するまでにおよそ2億の新規トークンを発行しました。この侵害は、複数のブリッジ署名キーが保存されていた侵害済みエンドポイントを悪用し、ハッカーがブリッジ契約の所有権を移転し、悪意のあるコードをインストールできるようにしたことによります。
ハッカーがブリッジの支配を奪い、1億4,120万Hトークンを流出
攻撃は連携した作戦によりEthereumとBNB Chainの双方に及びました。Ethereum上では、ハッカーは6つのGnosis Safeのオーナーキーのうち3つを支配し、BNB Chain上では5つのうち3つを支配しました。この閾値で、ブリッジ契約の所有権を攻撃者が制御するウォレットへ移し、ブリッジのコードを悪意のあるバージョンに差し替えるのに十分でした。
支配が確立されると、攻撃者は単一のEthereumトランザクションで約1億4,120万Hを流出させました。BNB Chainでは、ハッカーは無制限のミント機能を含むコードをインストールし、約2億の新規Hトークンを自分のウォレットに直接作成しました。セキュリティ企業Blockaidは、攻撃者がプロキシ管理者権限を取得し、追加供給分をミントしたことを特定しました。
Hトークンは85%下落、Humanity Protocolはブリッジを停止
侵害の後、Hトークンは暴落し、月曜の最高値である0.73ドル近辺から、0.12ドル前後まで下落し、85%超の下げとなりました。Humanity Protocolは、すべてのブリッジの入金と出金を停止しました。チームは調査と資産回収のために取引所、セキュリティパートナー、法執行機関と連携しており、完全なポストモーテムが約束されています。
CEOがエンドポイント侵害を確認、捜査側は内部不正を否定
Humanity Protocolの創業者兼最高経営責任者（CEO）Terence Kwokは、原因はスマートコントラクトの欠陥ではなく、侵害されたエンドポイントであることを確認しました。「これは、従業員のラップトップが侵害された後に発生した侵害の結果です」とKwokは述べました。チームはマルチシグを4人で設定していましたが、Kwokは、セットアップ中に署名キーの一部が誤って同じ侵害された端末にバックアップされていた可能性があるとしており、つまりマルチシグが本来分離して保つべき複数の承認が、1つのエンドポイントに露出していたということです。
オンチェーンの調査担当ZachXBTとアナリストSpecterは盗まれた資金を追跡し、内部不正の可能性を否定しました。
FAQ
6月8日にHumanity Protocolで何が起きましたか？
ハッカーが従業員のラップトップを侵害し、6つのEthereumキーのうち3つと5つのBNB Chainキーのうち3つを入手することでプロジェクトのクロスチェーンブリッジを掌握し、約1億4,120万Hトークンを流出させ、さらにおよそ2億の新規トークンを発行しました。
ハック後にHトークンの価格が急落したのはなぜですか？
Hトークンは、侵害が公表された後、Humanity Protocolがすべてのブリッジ入出金を停止したことで、月曜の最高値である0.73ドル近辺から、0.12ドル前後の安値まで、85%超下落しました。
攻撃者はどのようにブリッジのキーを手に入れたのですか？
CEO Terence Kwokは、侵害は従業員のラップトップが侵害されたことによるものだと確認しました。チームは、マルチシグのセットアップ中に複数のブリッジ署名キーが誤って同じ侵害された端末にバックアップされ、その結果、本来は分離されたままであるべき承認が露出したのではないかと疑っています。
