Humanity Protocol ได้เผยแพร่รายงานการตรวจสอบเหตุการณ์เมื่อวันอังคาร โดยระบุว่าการถูกโจมตีมูลค่า 36 ล้านดอลลาร์สหรัฐเกิดจากเครื่องนักพัฒนาเพียงเครื่องเดียวที่ติดมัลแวร์และเก็บสำรองกุญแจส่วนตัวเจ็ดคู่ ทำให้ผู้โจมตีมีอำนาจควบคุมโครงสร้างพื้นฐานของ Ethereum และ BNB Smart Chain ของโปรโตคอลอย่างสมบูรณ์
กุญแจที่ถูกสำรองไว้โดยไม่ตั้งใจบนอุปกรณ์ระหว่างการเปิดตัว Mainnet ของ Humanity ประมาณเดือนมิถุนายน 2025 รวมถึงกุญแจวอลเล็ตแบบร้อนของผู้ดูแลระบบ กุญแจเจ้าของ Ethereum Safe สามกุญแจ และกุญแจเจ้าของ BNB Smart Chain Safe สามกุญแจ ตาม รายงานเหตุการณ์ ที่เผยแพร่บนหน้า Notion ของโปรโตคอล
นักสืบระบุว่าผู้โจมตีได้รับสิทธิ์รูทบนเครื่องผ่านมัลแวร์ แล้วดึงกุญแจทั้งเจ็ดคีย์จากจุดเดียวที่ถูกโจมตี ตามที่ The Defiant รายงานเมื่อวันจันทร์ การละเมิดความปลอดภัยครั้งนี้ทำให้มีการขโมยหรือสร้าง H token ประมาณ 447 ล้านหน่วยบนทั้งสองเครือข่าย และมีความสูญเสียประมาณ 36 ล้านดอลลาร์สหรัฐ
วิธีที่การโจมตีเกิดขึ้น
โปรโตคอลระบุว่าการละเมิดไม่มีบั๊กในสัญญาสะพาน สัญญาโทเค็น หรือโครงสร้าง Safe การโอนทั้งหมด รายการธุรกรรม Safe และการอัปเกรดตัวแทนล้วนมีลายเซ็นกุญแจส่วนตัวที่ถูกต้อง ทำให้แต่ละการกระทำดูเหมือนเป็นการดำเนินการที่ได้รับอนุญาต
การโจมตีดำเนินการในสามคลื่นระหว่างวันที่ 8 มิถุนายนถึง 9 มิถุนายน ก่อนหน้านั้น ได้มีการดึงเงิน 6.04 ล้าน H ออกจากวอลเล็ตแบบร้อนของ Ethereum หลังจากกุญแจของมันถูกโจมตี ผู้โจมตีจากนั้นใช้กุญแจเจ้าของ Ethereum Safe สามในหกเพื่อยึดการควบคุม ProxyAdmin ของสะพาน ปรับปรุงสะพานให้เป็นการใช้งานที่เป็นอันตราย และดึงเงิน 141.18 ล้าน H ในหนึ่งธุรกรรม
บน BNB Smart Chain กุญแจ Safe สามคีย์ที่ถูกโจมตีทำให้ผู้โจมตีควบคุม ProxyAdmin ของโทเค็น ทำให้เกิดการสร้างโทเค็นใหม่สามครั้ง โดยแต่ละครั้งสร้าง 100 ล้าน H ทำให้ปริมาณหมุนเวียนเพิ่มจากประมาณ 141 ล้านเป็น 441 ล้าน H ก่อนจะถูกขายออกผ่านแพลตฟอร์มแลกเปลี่ยนแบบกระจายศูนย์
Humanity Protocol แจ้งว่าสัญญาโทเค็นบน BNB Smart Chain ยังคงอยู่ภายใต้การควบคุมของผู้โจมตี โดย ProxyAdmin ยังคงถูกเก็บรักษาไว้ในวอลเล็ตของผู้โจมตี
คำถามที่ยังค้างอยู่และการตอบกลับ
การสอบสวนยังไม่ได้ระบุว่าผู้โจมตีเข้าถึงเครื่องนี้ครั้งแรกเมื่อใด malware ถูกส่งผ่านทางใด หรือข้อมูลรับรองที่ถูกขโมยถูกเก็บไว้นานเท่าใดก่อนการโจมตีวันที่ 8 มิถุนายน
ในคำตอบ โปรโตคอลได้ระงับการฝากและถอนผ่านสะพาน เผยแพร่ ตัวติดตามแบบเรียลไทม์ ของที่อยู่ของผู้โจมตี และเสนอรางวัล USDT 1 ล้านดอลลาร์สหรัฐสำหรับข้อมูลที่นำไปสู่การกู้คืนสินทรัพย์ เงินทุนที่กู้คืนได้จะถูกใช้เพื่อซื้อคืนโทเค็น H
ZachXBT ซึ่งเป็นผู้เริ่มต้นตั้งข้อสงสัยว่าเหตุการณ์นี้อาจถูกจัดขึ้นมา ต่อมาได้ปรับการประเมินของเขาหลังจากตรวจสอบเส้นทางการฟอกเงิน และเขียนบน X ว่ากิจกรรมของผู้ทำตลาดที่น่าสงสัยและการถูกโจมตีรหัสส่วนตัวดูเหมือนไม่มีความเกี่ยวข้องกัน
H แลกเปลี่ยนใกล้ระดับ 0.154 ดอลลาร์สหรัฐในวันอังคาร ลดลงประมาณ 74% ในช่วงสัปดาห์ก่อนหน้า ตามข้อมูลจาก CoinGecko