Hack ao Humanity Protocol drena 36 milhões de dólares após computador portátil comprometido expor controlos da bridge

A Humanity Protocol perdeu mais de 36 milhões de dólares americanos (51,1 milhões de dólares australianos) em tokens H a 8 de junho, depois de um hacker ter comprometido o laptop de um único funcionário, assumido o controlo da cadeia cross-chain do projeto e drenado e cunhado centenas de milhões de tokens antes de a equipa conseguir reagir.

O ataque atingiu tanto a Ethereum como a BNB Chain numa operação coordenada. Na Ethereum, o hacker controlou três das seis chaves de proprietário do Gnosis Safe; na BNB Chain, três de cinco. 

Esse limiar foi suficiente para transferir a propriedade dos contratos da bridge para uma carteira controlada pelo atacante e substituir o código da bridge por uma versão maliciosa.

Leia mais: A aposta Bitcoin da Strategy enfrenta uma perda em papel de 11,2 mil milhões de dólares com o BTC a cair abaixo do preço médio de compra

Como a bridge caiu

Com o controlo estabelecido, o atacante drenou cerca de 141,2 milhões de H numa única transação Ethereum. Na BNB Chain, o hacker instalou um código contendo uma função de cunhagem ilimitada e criou aproximadamente 200 milhões de novos tokens H diretamente para a sua própria carteira. 

A empresa de segurança Blockaid identificou o atacante a obter direitos de administrador de proxy e a cunhar o fornecimento adicional.

O fundador e diretor executivo da Humanity Protocol, Terence Kwok, confirmou que a causa foi um endpoint comprometido, e não uma falha no contrato inteligente. "Isto foi resultado de uma violação que ocorreu após o laptop de um funcionário ter sido comprometido", afirmou Kwok. A equipa havia configurado a sua multisig entre quatro indivíduos, mas Kwok disse suspeitar que algumas das chaves de assinatura foram acidentalmente guardadas no mesmo dispositivo comprometido durante a configuração — o que significa que um único endpoint expôs múltiplas aprovações que uma multisig foi concebida para manter separadas.

O investigador on-chain ZachXBT e o analista Specter rastrearam os fundos roubados e descartaram o roubo interno.

O token H entrou em colapso após a violação, caindo de uma máxima de segunda-feira perto de 0,73 dólares americanos (1,04 dólares australianos) para mínimas em torno de 0,12 dólares americanos (0,17 dólares australianos), mais de 85%.

A Humanity Protocol suspendeu todos os depósitos e saques da bridge e disse estar a coordenar com exchanges, parceiros de segurança e autoridades na investigação e recuperação de ativos, com uma análise pós-incidente completa prometida.

Relacionado: Liquidação de posições longas de 617 milhões de dólares impulsiona recuperação do Bitcoin, traders de olho num rally de alívio até 70 mil dólares

A publicação Humanity Protocol Hack Drains $36M After Compromised Laptop Exposes Bridge Controls foi publicada pela primeira vez na Crypto News Australia.