Protocolo Humanity diz que o atacante roubou sete chaves de um dispositivo

Protocolo Humanity identificou uma máquina de desenvolvedor infectada por malware como a origem da violação de segurança que levou ao roubo e à cunhagem não autorizada de aproximadamente 447 milhões de tokens H na Ethereum e na BNB Smart Chain.

Resumo

• Protocolo Humanity afirmou que uma máquina de desenvolvedor infectada por malware expôs sete chaves privadas usadas no ataque de junho que afetou Ethereum e BNB Smart Chain.
• Credenciais roubadas permitiram ao atacante drenar 141,2 milhões de H da ponte Ethereum e cunhar 300 milhões de H na BNB Smart Chain.
• O projeto disse que o incidente teve origem em chaves privadas comprometidas, e não em uma falha em seus contratos inteligentes ou na infraestrutura da ponte.

De acordo com o relatório de incidente do Protocolo Humanity, um atacante obteve acesso root a um dispositivo de desenvolvedor e conseguiu sete chaves privadas que foram inadvertidamente backupadas durante o lançamento do mainnet em junho de 2025 do projeto.

As chaves incluíam a chave da carteira quente de administrador, três chaves de proprietário do Ethereum Safe e três chaves de proprietário do BSC Safe, dando ao atacante acesso à infraestrutura crítica a partir de uma única máquina comprometida.

As descobertas acrescentam novos detalhes a um ataque que anteriormente causou uma forte queda do token H antes de uma recuperação parcial. Em 10 de junho, o token foi negociado próximo de $0,163, um aumento de 23,7% em 24 horas, embora permanecesse 74,1% abaixo na semana anterior após a exploração.

Protocolo Humanity afirmou que o incidente não foi causado por uma falha em seus contratos de ponte, contratos de tokens ou na arquitetura Safe. Em vez disso, o atacante usou chaves privadas válidas para autorizar transferências, transações Safe e atualizações de contratos após obter controle das credenciais.

Atacante usou chaves roubadas para assumir controle da ponte

Com base no relatório, o ataque se desenrolou em três ações distintas entre 8 e 9 de junho.

Durante a primeira fase, 6,04 milhões de H foram drenados de uma carteira quente de administrador do Ethereum após sua chave privada ser comprometida. A partir daí, o atacante passou a atacar a infraestrutura da ponte do protocolo.

Usando três chaves roubadas de uma Safe de seis membros do Ethereum, o atacante transferiu a propriedade do Bridge ProxyAdmin para uma carteira controlada pelo atacante. Após obter controle administrativo, o atacante atualizou a ponte para uma implementação maliciosa e drenou 141,18 milhões de H em uma única transação.

Protocolo Humanity afirmou que a transação continha as assinaturas necessárias para atender aos requisitos de limiar da Safe, permitindo que a atualização parecesse uma ação autorizada, e não uma exploração de contrato inteligente.

Na BNB Smart Chain, um conjunto separado de três chaves Safe comprometidas deu ao atacante controle do ProxyAdmin do token. Após implantar uma implementação maliciosa, o atacante executou três transações de cunhagem de 100 milhões de H cada, aumentando a oferta do token de cerca de 141,1 milhões para 441,1 milhões de H.

Investigação aponta para ponto único de comprometimento

Enquanto os ativos da ponte Ethereum foram drenados, o relatório descreveu o token da BSC como irrecuperável, pois o atacante ainda controla o ProxyAdmin e pode continuar cunhando tokens adicionais. Protocolo Humanity afirmou que o atacante mantém a propriedade tanto da ponte quanto dos contratos de administração do token afetados pelo incidente.

Disclosures anteriores do projeto focaram em dispositivos de funcionários comprometidos e chaves Safe roubadas. As descobertas forenses mais recentes limitaram a causa a uma única máquina de desenvolvedor infectada por malware que armazenava múltiplos backups sensíveis. Segundo o relatório, os investigadores acreditam que todas as sete chaves privadas foram obtidas a partir desse único dispositivo.

Várias questões permanecem sem resposta. Protocolo Humanity afirmou que ainda não determinou quando o atacante obteve acesso pela primeira vez, como a máquina foi comprometida ou por quanto tempo as credenciais roubadas foram mantidas antes da execução do ataque.

Em resposta ao incidente, o projeto interrompeu depósitos e saques através das pontes afetadas, lançou um rastreador de recuperação público e ofereceu uma recompensa de 1 milhão de USDT por informações que levem à recuperação dos ativos. Protocolo Humanity afirmou anteriormente que quaisquer fundos recuperados seriam usados para recomprar tokens H.