O Protocolo Humanity diz que o atacante roubou sete chaves de um dispositivo

O Protocolo Humanity identificou uma máquina de desenvolvimento infectada por malware como a origem da violação de segurança que levou ao roubo e à cunhagem não autorizada de aproximadamente 447 milhões de tokens H na Ethereum e na BNB Smart Chain.

Resumo

• O Protocolo Humanity afirmou que uma máquina de desenvolvimento infectada por malware expôs sete chaves privadas usadas no ataque de junho que afetou a Ethereum e a BNB Smart Chain.
• Credenciais roubadas permitiram ao atacante esvaziar 141,2 milhões de H da ponte Ethereum e cunhar 300 milhões de H na BNB Smart Chain.
• O projeto disse que o incidente decorreu de chaves privadas comprometidas, e não de uma falha em seus contratos inteligentes ou na infraestrutura da ponte.

De acordo com o relatório de incidente do Protocolo Humanity, um atacante obteve acesso root a um dispositivo de desenvolvedor e conseguiu sete chaves privadas que foram inadvertidamente feitas backup durante o lançamento da mainnet do projeto em junho de 2025.

As chaves incluíam a chave da carteira quente de administrador, três chaves de proprietário do Ethereum Safe e três chaves de proprietário do BSC Safe, dando ao atacante acesso à infraestrutura crítica a partir de uma única máquina comprometida.

As descobertas acrescentam novos detalhes a um ataque que anteriormente causou uma forte queda do H antes de uma recuperação parcial. Em 10 de junho, o token foi negociado próximo de $0,163, com alta de 23,7% em 24 horas, embora permanecesse 74,1% abaixo do valor da semana anterior após o exploit.

O Protocolo Humanity afirmou que o incidente não foi causado por uma falha nos contratos da ponte, contratos de tokens ou na arquitetura Safe. Em vez disso, o atacante usou chaves privadas válidas para autorizar transferências, transações Safe e atualizações de contratos após obter controle das credenciais.

Atacante usou chaves roubadas para assumir controle da ponte

Com base no relatório, o ataque ocorreu em três ações distintas entre 8 e 9 de junho.

Durante a primeira fase, 6,04 milhões de H foram esvaziados de uma carteira quente de administrador do Ethereum após sua chave privada ter sido comprometida. A partir daí, o atacante atacou a infraestrutura da ponte do protocolo.

Usando três chaves roubadas de um Safe de seis membros do Ethereum, o atacante transferiu a propriedade do Bridge ProxyAdmin para uma carteira controlada pelo atacante. Após obter controle administrativo, o atacante atualizou a ponte para uma implementação maliciosa e esvaziou 141,18 milhões de H em uma única transação.

O Protocolo Humanity afirmou que a transação continha as assinaturas necessárias para atender aos requisitos de limiar do Safe, permitindo que a atualização parecesse uma ação autorizada, e não uma exploração de contrato inteligente.

Na BNB Smart Chain, um conjunto separado de três chaves Safe comprometidas deu ao atacante controle do ProxyAdmin do token. Após implantar uma implementação maliciosa, o atacante executou três transações de cunhagem de 100 milhões de H cada, aumentando a oferta do token de cerca de 141,1 milhões para 441,1 milhões de H.

Investigação aponta para ponto único de comprometimento

Enquanto os ativos da ponte Ethereum foram esvaziados, o relatório descreveu o token da BSC como irrecuperável, pois o atacante ainda controla o ProxyAdmin e pode continuar cunhando tokens adicionais. O Protocolo Humanity afirmou que o atacante mantém a propriedade tanto da ponte quanto dos contratos de administração do token afetados pelo incidente.

Disclosures anteriores do projeto focaram em dispositivos de funcionários comprometidos e chaves Safe roubadas. As descobertas forenses mais recentes limitaram a causa a uma única máquina de desenvolvedor infectada por malware que armazenava múltiplas cópias de segurança sensíveis. Segundo o relatório, os investigadores acreditam que todas as sete chaves privadas foram obtidas a partir desse único dispositivo.

Várias questões permanecem sem resposta. O Protocolo Humanity afirmou que ainda não determinou quando o atacante obteve acesso pela primeira vez, como a máquina foi comprometida ou por quanto tempo as credenciais roubadas foram mantidas antes de o ataque ser realizado.

Em resposta ao incidente, o projeto interrompeu depósitos e retiradas através das pontes afetadas, lançou um rastreador de recuperação público e ofereceu uma recompensa de 1 milhão de USDT por informações que levem à recuperação dos ativos. O Protocolo Humanity afirmou anteriormente que quaisquer fundos recuperados seriam usados para recomprar tokens H.