Angrebet begyndte med en helt almindelig phishingmail

Indgangspunktet var bemærkelsesværdigt hverdagsagtigt. Den 5. juni modtog direktøren Chong Yee Wai en mail, der så ud til at komme fra Bithumb. Mailen handlede om en tidsplan for låsning af den cirkulerende tokenbeholdning og indeholdt en skadelig ZIP-fil .

Da filen blev åbnet, installerede den skadevare med navnet hncagent.exe. Programmet var digitalt signeret med et legitimt sydkoreansk certifikat fra Hancom. Quantstamp fremhævede denne type certifikatmisbrug som et kendt kendetegn ved tidligere cyberoperationer med forbindelse til Nordkorea .

Skadevaren gav angriberne fuld fjernadgang til direktørens bærbare computer. Herfra kunne de hente syv private nøgler: tre af de seks ejer-nøgler i Gnosis Safe-multisignaturpungen, som kontrollerede Ethereum-broen, samt yderligere nøgler med adgang til at opgradere kontrakter .

Sådan blev begge netværk ramt

Med kontrol over administrationsnøglerne gennemførte angriberne koordinerede operationer på Ethereum og BNB Smart Chain.

På Ethereum:

• Ethereum-broens H-token-kontrakt blev opgraderet til en ondsindet version under angribernes kontrol .
• Derefter blev omkring 141 millioner H-tokens tømt fra broen i én transaktion .
• En stor del af de stjålne tokens blev byttet eller flyttet via broen til andre aktiver og sendt videre til eksterne wallets, hvilket gjorde en tilbageførsel vanskelig .

På BNB Smart Chain:

• Angriberne overtog kontrollen med ProxyAdmin-kontrakten .
• Det gav dem mulighed for at udstede nye H-tokens direkte og dermed skabe yderligere udbud .
• De nyudstedte og stjålne tokens blev efterfølgende solgt systematisk på Uniswap og PancakeSwap i omkring otte timer, hvilket pressede kursen kraftigt ned .

Det afgørende er, at angrebet ikke udnyttede en fejl i selve smart contract-koden. Det var et kompromitteringsangreb, hvor phishing og stjålne legitimationsoplysninger gjorde det muligt at misbruge eksisterende administrative rettigheder. Humanity Protocol har efterfølgende bekræftet, at ingen smart contracts blev udnyttet gennem en kodefejl .

Hvorfor Quantstamp peger på Nordkorea

Humanity Protocol hyrede Quantstamp den 9. juni, dagen efter sikkerhedsbruddet. Sikkerhedsfirmaet offentliggjorde sin foreløbige undersøgelse den 11. juni. Projektet tilskrev den 12. juni tyveriet hackere med forbindelse til Nordkorea og offentliggjorde en mere fuldstændig gennemgang af Quantstamps resultater den 14. juni .

Quantstamp pegede blandt andet på:

• Skadevarens værktøjer og adfærd: Brugen af hncagent.exe som førstetrinsprogram og de observerede fjernadgangsmønstre stemte overens med kendte nordkoreanske angrebsgrupper .
• Misbrug af digitale certifikater: Skadevaren var signeret med et legitimt sydkoreansk Hancom-certifikat – en metode, som Quantstamp har identificeret i tidligere operationer med forbindelse til Nordkorea .
• Angrebets fremgangsmåde: Kæden fra social manipulation over skadevare og nøgletyveri til et koordineret angreb på flere blockchain-netværk minder om den metode, der ofte forbindes med Lazarus-gruppen og dens samarbejdspartnere. Disse grupper er blevet kædet sammen med kryptotyverier for over 3 milliarder dollar .

Rapporten understregede samtidig, at risikoen ikke er helt fjernet. H-token-kontrakten på Ethereum blev sat på pause af en multisignaturwallet, som ikke var kompromitteret. Men BNB Smart Chain-versionen er fortsat permanent under angribernes kontrol, og de har stadig mulighed for at udstede flere tokens .

Kurskollaps efterfulgt af en voldsom optur

Først faldt H-tokenet 74 procent

Efter angrebet den 8. juni styrtdykkede H-tokenet. Fra en rekordkurs på 0,844 dollar den 2. juni faldt tokenet cirka 74 procent og nåede under paniksalget niveauer på mellem 0,05 og 0,13 dollar .

Derefter kom lettelsesrallyet

• 12. juni: H steg omkring 44 procent på én dag og blev handlet omkring 0,227 dollar. Opturen kom efter Humanity Protocols meddelelse om afværgeforanstaltninger og fastfrysningen af Ethereum-kontrakten .
• 14. juni: En ny stigning på cirka 42 procent sendte tokenet op til en højeste kurs på 0,6276 dollar. Det svarede til en stigning på omkring 210 procent fra bunden efter angrebet .

Hvorfor opturen var risikabel

Stigningen var ikke baseret på, at alle problemerne var løst. Data fra CoinMarketCap viste, at opturen den 14. juni blev ledsaget af en 131 procents stigning i open interest til 213 millioner dollar. Open interest viser værdien af åbne derivatpositioner og kan i denne sammenhæng være et tegn på, at mange spekulanter gik ind i markedet med gearing .

CoinMarketCap advarede om, at den kraftige opbygning af gearede positioner øgede risikoen for store udsving. Et pludseligt kursfald kunne dermed udløse en kædereaktion af tvangslukninger . Allerede den 15. juni var tokenet faldet tilbage til omkring 0,23-0,30 dollar, hvilket understregede, hvor skrøbelig genopretningen var .

Hvad angrebet betyder for Web3-sikkerhed

Humanity Protocol-sagen er mere end et enkeltstående token-tyveri. Den viser nogle af de svagheder, der fortsat præger Web3 – også i projekter, der er bygget med decentralisering som et centralt princip.

1. En multisignatur gør ikke systemet decentraliseret af sig selv

Humanity Protocol brugte en 3-af-6 Gnosis Safe til at kontrollere broen. Men tre af de seks nøgler blev opbevaret på den samme medarbejders computer. Angrebet viser derfor, at en multisignaturløsning kun er så sikker som den fysiske og organisatoriske spredning af nøglerne .

2. Nordkoreanske kryptotyverier følger et genkendeligt mønster

Cyberenheder med forbindelse til Nordkorea, herunder Lazarus-gruppen, har udviklet en gentagelig metode: Find et kryptoprojekt, lok en udvikler eller leder i en social manipulationsfælde, stjæl private nøgler og flyt midlerne på tværs af netværk. Humanity Protocol føjer sig til en lang og voksende række af sager .

3. Cross-chain-broer er attraktive mål

Broer er designet til at holde store, likvide aktivpuljer, som ofte kontrolleres af et begrænset antal administrationsnøgler. Det gør dem til oplagte mål. Angrebet på både Ethereum og BNB Smart Chain viser, at sikkerhed for cross-chain-projekter ikke kun handler om audit af smart contracts, men også om nøgleopbevaring og adgangskontrol .

4. Et kursrally efter et angreb kan være en fælde

H-tokenets stigning på 210 procent tiltrak tradere, der jagtede en hurtig genopretning. Men gearingsdata pegede på en overfyldt og ustabil handel. Når et token stiger på spekulation frem for en troværdig løsning på sikkerhedsproblemerne – og én blockchain-version fortsat er kompromitteret – er risikoen for et nyt fald reel .

5. Regulatorerne vil se nærmere på området

Når Nordkorea eller en anden statsaktør sættes i forbindelse med et kryptotyveri, øges presset på branchen. Det kan føre til fornyet fokus på KYC- og AML-kontroller, standarder for opbevaring af nøgler og krav om sikkerhedsaudits – særligt for protokoller med cross-chain-broer, der håndterer brugernes midler .

Angrebet begyndte med en helt almindelig phishingmail

Indgangspunktet var bemærkelsesværdigt hverdagsagtigt. Den 5. juni modtog direktøren Chong Yee Wai en mail, der så ud til at komme fra Bithumb. Mailen handlede om en tidsplan for låsning af den cirkulerende tokenbeholdning og indeholdt en skadelig ZIP-fil .

Da filen blev åbnet, installerede den skadevare med navnet hncagent.exe. Programmet var digitalt signeret med et legitimt sydkoreansk certifikat fra Hancom. Quantstamp fremhævede denne type certifikatmisbrug som et kendt kendetegn ved tidligere cyberoperationer med forbindelse til Nordkorea .

Skadevaren gav angriberne fuld fjernadgang til direktørens bærbare computer. Herfra kunne de hente syv private nøgler: tre af de seks ejer-nøgler i Gnosis Safe-multisignaturpungen, som kontrollerede Ethereum-broen, samt yderligere nøgler med adgang til at opgradere kontrakter .

Sådan blev begge netværk ramt

Med kontrol over administrationsnøglerne gennemførte angriberne koordinerede operationer på Ethereum og BNB Smart Chain.

På Ethereum:

• Ethereum-broens H-token-kontrakt blev opgraderet til en ondsindet version under angribernes kontrol .
• Derefter blev omkring 141 millioner H-tokens tømt fra broen i én transaktion .
• En stor del af de stjålne tokens blev byttet eller flyttet via broen til andre aktiver og sendt videre til eksterne wallets, hvilket gjorde en tilbageførsel vanskelig .

På BNB Smart Chain:

• Angriberne overtog kontrollen med ProxyAdmin-kontrakten .
• Det gav dem mulighed for at udstede nye H-tokens direkte og dermed skabe yderligere udbud .
• De nyudstedte og stjålne tokens blev efterfølgende solgt systematisk på Uniswap og PancakeSwap i omkring otte timer, hvilket pressede kursen kraftigt ned .

Det afgørende er, at angrebet ikke udnyttede en fejl i selve smart contract-koden. Det var et kompromitteringsangreb, hvor phishing og stjålne legitimationsoplysninger gjorde det muligt at misbruge eksisterende administrative rettigheder. Humanity Protocol har efterfølgende bekræftet, at ingen smart contracts blev udnyttet gennem en kodefejl .

Hvorfor Quantstamp peger på Nordkorea

Humanity Protocol hyrede Quantstamp den 9. juni, dagen efter sikkerhedsbruddet. Sikkerhedsfirmaet offentliggjorde sin foreløbige undersøgelse den 11. juni. Projektet tilskrev den 12. juni tyveriet hackere med forbindelse til Nordkorea og offentliggjorde en mere fuldstændig gennemgang af Quantstamps resultater den 14. juni .

Quantstamp pegede blandt andet på:

• Skadevarens værktøjer og adfærd: Brugen af hncagent.exe som førstetrinsprogram og de observerede fjernadgangsmønstre stemte overens med kendte nordkoreanske angrebsgrupper .
• Misbrug af digitale certifikater: Skadevaren var signeret med et legitimt sydkoreansk Hancom-certifikat – en metode, som Quantstamp har identificeret i tidligere operationer med forbindelse til Nordkorea .
• Angrebets fremgangsmåde: Kæden fra social manipulation over skadevare og nøgletyveri til et koordineret angreb på flere blockchain-netværk minder om den metode, der ofte forbindes med Lazarus-gruppen og dens samarbejdspartnere. Disse grupper er blevet kædet sammen med kryptotyverier for over 3 milliarder dollar .

Rapporten understregede samtidig, at risikoen ikke er helt fjernet. H-token-kontrakten på Ethereum blev sat på pause af en multisignaturwallet, som ikke var kompromitteret. Men BNB Smart Chain-versionen er fortsat permanent under angribernes kontrol, og de har stadig mulighed for at udstede flere tokens .

Kurskollaps efterfulgt af en voldsom optur

Først faldt H-tokenet 74 procent

Efter angrebet den 8. juni styrtdykkede H-tokenet. Fra en rekordkurs på 0,844 dollar den 2. juni faldt tokenet cirka 74 procent og nåede under paniksalget niveauer på mellem 0,05 og 0,13 dollar .

Derefter kom lettelsesrallyet

• 12. juni: H steg omkring 44 procent på én dag og blev handlet omkring 0,227 dollar. Opturen kom efter Humanity Protocols meddelelse om afværgeforanstaltninger og fastfrysningen af Ethereum-kontrakten .
• 14. juni: En ny stigning på cirka 42 procent sendte tokenet op til en højeste kurs på 0,6276 dollar. Det svarede til en stigning på omkring 210 procent fra bunden efter angrebet .

Hvorfor opturen var risikabel

Stigningen var ikke baseret på, at alle problemerne var løst. Data fra CoinMarketCap viste, at opturen den 14. juni blev ledsaget af en 131 procents stigning i open interest til 213 millioner dollar. Open interest viser værdien af åbne derivatpositioner og kan i denne sammenhæng være et tegn på, at mange spekulanter gik ind i markedet med gearing .

CoinMarketCap advarede om, at den kraftige opbygning af gearede positioner øgede risikoen for store udsving. Et pludseligt kursfald kunne dermed udløse en kædereaktion af tvangslukninger . Allerede den 15. juni var tokenet faldet tilbage til omkring 0,23-0,30 dollar, hvilket understregede, hvor skrøbelig genopretningen var .

Hvad angrebet betyder for Web3-sikkerhed

Humanity Protocol-sagen er mere end et enkeltstående token-tyveri. Den viser nogle af de svagheder, der fortsat præger Web3 – også i projekter, der er bygget med decentralisering som et centralt princip.

1. En multisignatur gør ikke systemet decentraliseret af sig selv

Humanity Protocol brugte en 3-af-6 Gnosis Safe til at kontrollere broen. Men tre af de seks nøgler blev opbevaret på den samme medarbejders computer. Angrebet viser derfor, at en multisignaturløsning kun er så sikker som den fysiske og organisatoriske spredning af nøglerne .

2. Nordkoreanske kryptotyverier følger et genkendeligt mønster

Cyberenheder med forbindelse til Nordkorea, herunder Lazarus-gruppen, har udviklet en gentagelig metode: Find et kryptoprojekt, lok en udvikler eller leder i en social manipulationsfælde, stjæl private nøgler og flyt midlerne på tværs af netværk. Humanity Protocol føjer sig til en lang og voksende række af sager .

3. Cross-chain-broer er attraktive mål

Broer er designet til at holde store, likvide aktivpuljer, som ofte kontrolleres af et begrænset antal administrationsnøgler. Det gør dem til oplagte mål. Angrebet på både Ethereum og BNB Smart Chain viser, at sikkerhed for cross-chain-projekter ikke kun handler om audit af smart contracts, men også om nøgleopbevaring og adgangskontrol .

4. Et kursrally efter et angreb kan være en fælde

H-tokenets stigning på 210 procent tiltrak tradere, der jagtede en hurtig genopretning. Men gearingsdata pegede på en overfyldt og ustabil handel. Når et token stiger på spekulation frem for en troværdig løsning på sikkerhedsproblemerne – og én blockchain-version fortsat er kompromitteret – er risikoen for et nyt fald reel .

5. Regulatorerne vil se nærmere på området

Når Nordkorea eller en anden statsaktør sættes i forbindelse med et kryptotyveri, øges presset på branchen. Det kan føre til fornyet fokus på KYC- og AML-kontroller, standarder for opbevaring af nøgler og krav om sikkerhedsaudits – særligt for protokoller med cross-chain-broer, der håndterer brugernes midler .