Kaikki alkoi uskottavan näköisestä sähköpostista

Hyökkäyksen valmistelu alkoi 5. kesäkuuta, kun Humanity Protocolin johtaja Chong Yee Wai sai viestin, jonka väitettiin olevan peräisin eteläkorealaiselta Bithumb-kryptopörssiltä. Viestissä käsiteltiin tokenien kiertävän tarjonnan lukitusaikataulua, ja sen liitteenä oli haitallinen ZIP-tiedosto .

Liitteen avaaminen asensi koneelle haittaohjelman nimeltä hncagent.exe. Quantstampin mukaan tiedosto oli allekirjoitettu aidolla eteläkorealaisella Hancomin digitaalisella varmenteella. Tällainen varmenteiden väärinkäyttö on yhdistetty aiempiin Pohjois-Koreaan kytkeytyneisiin kyberoperaatioihin .

Haittaohjelma antoi hyökkääjille etäyhteyden johtajan kannettavalle tietokoneelle. Yhdeltä laitteelta varastettiin yhteensä seitsemän yksityistä avainta: niiden joukossa oli kolme kuudesta Gnosis Safe -moniallekirjoituslompakon omistaja-avaimesta, joilla hallittiin Ethereum-siltaa, sekä avaimia, jotka mahdollistivat sopimusten päivittämisen .

Kahden lohkoketjun koordinoitu tyhjennys

Varastettujen hallinnollisten avainten avulla hyökkääjät toteuttivat samanaikaiset operaatiot kahdessa verkossa.

Ethereumissa:

• H-tokenin siltasopimus päivitettiin hyökkääjien hallitsemaan haitalliseen versioon .
• Sillasta siirrettiin yhdellä transaktiolla noin 141 miljoonaa H-tokenia .
• Tokenit vaihdettiin tai siirrettiin suurelta osin muihin varoihin ja ulkopuolisiin lompakoihin, mikä vaikeuttaa niiden palauttamista .

BNB Smart Chainissa:

• Hyökkääjät ottivat haltuunsa ProxyAdmin-sopimuksen .
• Sen kautta he pystyivät luomaan eli minttaamaan uusia H-tokeneita ilman vastaavaa uutta varallisuutta .
• Varastettuja ja uusia tokeneita myytiin Uniswapissa ja PancakeSwapissa noin kahdeksan tunnin ajan, mikä painoi hintaa nopeasti alaspäin .

Keskeinen havainto on, ettei hyökkäys hyödyntänyt älysopimusten ohjelmointivirhettä. Humanity Protocol ilmoitti myöhemmin nimenomaisesti, ettei älysopimuksia ollut hyödynnetty, vaan murto johtui vaarantuneista tunnistetiedoista ja yksityisistä avaimista .

Mikä yhdisti hyökkäyksen Pohjois-Koreaan?

Humanity Protocol palkkasi Quantstampin 9. kesäkuuta, päivä hyökkäyksen jälkeen. Quantstamp julkaisi alustavan raporttinsa 11. kesäkuuta, ja projekti kertoi hyökkäyksen olevan Pohjois-Koreaan kytkeytyneiden hakkerien tekemä 12. kesäkuuta. Tutkinnan täydet tulokset julkistettiin 14. kesäkuuta .

Quantstampin johtopäätöstä tukivat erityisesti seuraavat tekniset merkit:

• Haittaohjelman toiminta: hncagent.exe ja sen mahdollistama etähallinta vastasivat tunnettuja Pohjois-Koreaan yhdistettyjen hyökkäysryhmien toimintatapoja .
• Väärennetty luottamus: Haittaohjelma oli allekirjoitettu aidolla Hancomin eteläkorealaisella varmenteella, mitä Quantstamp piti aiemmista DPRK-operaatioista tuttuna menetelmänä .
• Hyökkäyksen rakenne: Kalasteluviesti, haittaohjelma, avainten varastaminen ja varojen tyhjentäminen useista verkoista muodostivat monivaiheisen ketjun, joka muistuttaa Lazarus-ryhmään ja sen kumppaneihin yhdistettyä toimintamallia .

Attribuutio ei kuitenkaan muuttanut sitä, että riski jäi osittain voimaan. Ethereumissa H-tokenin sopimus jäädytettiin hyökkääjien ulottumattomissa olleella moniallekirjoituslompakolla. BNB Smart Chainin käyttöönotto sen sijaan jäi pysyvästi hyökkääjien hallintaan, joten heillä säilyi kyky mintata lisää tokeneita .

Kurssi romahti – ja nousi sitten 210 prosenttia

74 prosentin romahdus

Ennen hyökkäystä H-token oli käynyt 2. kesäkuuta korkeimmillaan 0,844 dollarissa. Hyökkäyksen jälkeen paniikkimyynti painoi hinnan noin 74 prosenttia alemmas, alimmillaan noin 0,05–0,13 dollariin .

Helpotusrallit

Kurssi toipui nopeasti, mutta liike oli poikkeuksellisen epävakaa:

• 12. kesäkuuta: H-token nousi noin 44 prosenttia ja kävi noin 0,227 dollarissa. Nousua tukivat Humanity Protocolin torjuntatoimet ja Ethereum-sopimuksen jäädyttäminen .
• 14. kesäkuuta: Token nousi päivän aikana vielä noin 42 prosenttia ja saavutti 0,6276 dollarin huipun. Se merkitsi noin 210 prosentin nousua romahduksen jälkeisistä pohjista .

Miksi nousu oli riskialtis?

Ralli ei perustunut siihen, että koko tietoturvaongelma olisi ratkaistu. CoinMarketCapin mukaan avoimien johdannaispositioiden määrä, eli Open Interest, kasvoi 131 prosenttia ja nousi 213 miljoonaan dollariin. Tämä viittasi voimakkaaseen vipuspekulaatioon ja lisäsi äkillisen käänteen sekä ketjureaktiomaisen pakkomyynnin riskiä .

Jo 15. kesäkuuta H-token oli vetäytynyt takaisin noin 0,23–0,30 dollarin tasolle, mikä korosti rallin haurautta .

Mitä tapaus kertoo Web3:n turvallisuudesta?

1. Moniallekirjoitus ei yksin tee järjestelmästä hajautettua

Humanity Protocol käytti Ethereum-sillan hallintaan 3/6-mallista Gnosis Safe -lompakkoa. Jos kolme kuudesta avaimesta kuitenkin säilytetään yhden työntekijän tietokoneella, fyysinen avaintenhallinta muodostaa käytännössä yhden kriittisen riskikeskittymän. Moniallekirjoitus on vain niin vahva kuin avainten säilytys ja niiden haltijoiden erillisyys .

2. Ihmiset ovat edelleen Web3:n heikoin lenkki

Hajautettu infrastruktuuri voi näyttää teknisesti riippumattomalta, mutta ylläpitäjien laitteet, sähköpostit ja lompakot ovat edelleen keskitettyjä hyökkäyskohteita. Tässä tapauksessa yksi uskottavalta näyttänyt sähköposti johti seitsemän avaimen menetykseen.

3. Ketjujen väliset sillat ovat houkuttelevia kohteita

Sillat hallitsevat usein suuria ja nopeasti siirrettäviä varoja, mutta niiden hallinta voi nojata pieneen määrään ylläpitoavaimia. Ethereum- ja BNB Smart Chain -operaatiot osoittavat, että siltaturvallisuus tarkoittaa älysopimusten auditoinnin lisäksi avaintenhallintaa, käyttöoikeuksia ja valvontaa .

4. Hakkeroinnin jälkeinen kurssiralli voi olla ansa

H-tokenin 210 prosentin nousu houkutteli markkinoille treidaajia, jotka tavoittelivat nopeaa palautumista. Vipupositioiden voimakas kasvu teki kaupankäynnistä kuitenkin haavoittuvan. Kun yksi verkon käyttöönotto oli yhä hyökkääjien hallussa, uusi romahdusriski ei ollut pelkkää teoreettista spekulaatiota .

5. Tapaus lisää sääntelypaineita

Kun kryptovarkaudesta epäillään valtiollisiin toimijoihin kytkeytyviä hakkeriryhmiä, huomio kohdistuu väistämättä myös alan valvontaan. KYC- ja AML-käytännöt, säilytysratkaisut, yksityisten avainten hallinta ja ketjujen välisten siltojen pakolliset turvallisuustarkastukset voivat joutua aiempaa tarkempaan syyniin .

Kaikki alkoi uskottavan näköisestä sähköpostista

Hyökkäyksen valmistelu alkoi 5. kesäkuuta, kun Humanity Protocolin johtaja Chong Yee Wai sai viestin, jonka väitettiin olevan peräisin eteläkorealaiselta Bithumb-kryptopörssiltä. Viestissä käsiteltiin tokenien kiertävän tarjonnan lukitusaikataulua, ja sen liitteenä oli haitallinen ZIP-tiedosto .

Liitteen avaaminen asensi koneelle haittaohjelman nimeltä hncagent.exe. Quantstampin mukaan tiedosto oli allekirjoitettu aidolla eteläkorealaisella Hancomin digitaalisella varmenteella. Tällainen varmenteiden väärinkäyttö on yhdistetty aiempiin Pohjois-Koreaan kytkeytyneisiin kyberoperaatioihin .

Haittaohjelma antoi hyökkääjille etäyhteyden johtajan kannettavalle tietokoneelle. Yhdeltä laitteelta varastettiin yhteensä seitsemän yksityistä avainta: niiden joukossa oli kolme kuudesta Gnosis Safe -moniallekirjoituslompakon omistaja-avaimesta, joilla hallittiin Ethereum-siltaa, sekä avaimia, jotka mahdollistivat sopimusten päivittämisen .

Kahden lohkoketjun koordinoitu tyhjennys

Varastettujen hallinnollisten avainten avulla hyökkääjät toteuttivat samanaikaiset operaatiot kahdessa verkossa.

Ethereumissa:

• H-tokenin siltasopimus päivitettiin hyökkääjien hallitsemaan haitalliseen versioon .
• Sillasta siirrettiin yhdellä transaktiolla noin 141 miljoonaa H-tokenia .
• Tokenit vaihdettiin tai siirrettiin suurelta osin muihin varoihin ja ulkopuolisiin lompakoihin, mikä vaikeuttaa niiden palauttamista .

BNB Smart Chainissa:

• Hyökkääjät ottivat haltuunsa ProxyAdmin-sopimuksen .
• Sen kautta he pystyivät luomaan eli minttaamaan uusia H-tokeneita ilman vastaavaa uutta varallisuutta .
• Varastettuja ja uusia tokeneita myytiin Uniswapissa ja PancakeSwapissa noin kahdeksan tunnin ajan, mikä painoi hintaa nopeasti alaspäin .

Keskeinen havainto on, ettei hyökkäys hyödyntänyt älysopimusten ohjelmointivirhettä. Humanity Protocol ilmoitti myöhemmin nimenomaisesti, ettei älysopimuksia ollut hyödynnetty, vaan murto johtui vaarantuneista tunnistetiedoista ja yksityisistä avaimista .

Mikä yhdisti hyökkäyksen Pohjois-Koreaan?

Humanity Protocol palkkasi Quantstampin 9. kesäkuuta, päivä hyökkäyksen jälkeen. Quantstamp julkaisi alustavan raporttinsa 11. kesäkuuta, ja projekti kertoi hyökkäyksen olevan Pohjois-Koreaan kytkeytyneiden hakkerien tekemä 12. kesäkuuta. Tutkinnan täydet tulokset julkistettiin 14. kesäkuuta .

Quantstampin johtopäätöstä tukivat erityisesti seuraavat tekniset merkit:

• Haittaohjelman toiminta: hncagent.exe ja sen mahdollistama etähallinta vastasivat tunnettuja Pohjois-Koreaan yhdistettyjen hyökkäysryhmien toimintatapoja .
• Väärennetty luottamus: Haittaohjelma oli allekirjoitettu aidolla Hancomin eteläkorealaisella varmenteella, mitä Quantstamp piti aiemmista DPRK-operaatioista tuttuna menetelmänä .
• Hyökkäyksen rakenne: Kalasteluviesti, haittaohjelma, avainten varastaminen ja varojen tyhjentäminen useista verkoista muodostivat monivaiheisen ketjun, joka muistuttaa Lazarus-ryhmään ja sen kumppaneihin yhdistettyä toimintamallia .

Attribuutio ei kuitenkaan muuttanut sitä, että riski jäi osittain voimaan. Ethereumissa H-tokenin sopimus jäädytettiin hyökkääjien ulottumattomissa olleella moniallekirjoituslompakolla. BNB Smart Chainin käyttöönotto sen sijaan jäi pysyvästi hyökkääjien hallintaan, joten heillä säilyi kyky mintata lisää tokeneita .

Kurssi romahti – ja nousi sitten 210 prosenttia

74 prosentin romahdus

Ennen hyökkäystä H-token oli käynyt 2. kesäkuuta korkeimmillaan 0,844 dollarissa. Hyökkäyksen jälkeen paniikkimyynti painoi hinnan noin 74 prosenttia alemmas, alimmillaan noin 0,05–0,13 dollariin .

Helpotusrallit

Kurssi toipui nopeasti, mutta liike oli poikkeuksellisen epävakaa:

• 12. kesäkuuta: H-token nousi noin 44 prosenttia ja kävi noin 0,227 dollarissa. Nousua tukivat Humanity Protocolin torjuntatoimet ja Ethereum-sopimuksen jäädyttäminen .
• 14. kesäkuuta: Token nousi päivän aikana vielä noin 42 prosenttia ja saavutti 0,6276 dollarin huipun. Se merkitsi noin 210 prosentin nousua romahduksen jälkeisistä pohjista .

Miksi nousu oli riskialtis?

Ralli ei perustunut siihen, että koko tietoturvaongelma olisi ratkaistu. CoinMarketCapin mukaan avoimien johdannaispositioiden määrä, eli Open Interest, kasvoi 131 prosenttia ja nousi 213 miljoonaan dollariin. Tämä viittasi voimakkaaseen vipuspekulaatioon ja lisäsi äkillisen käänteen sekä ketjureaktiomaisen pakkomyynnin riskiä .

Jo 15. kesäkuuta H-token oli vetäytynyt takaisin noin 0,23–0,30 dollarin tasolle, mikä korosti rallin haurautta .

Mitä tapaus kertoo Web3:n turvallisuudesta?

1. Moniallekirjoitus ei yksin tee järjestelmästä hajautettua

Humanity Protocol käytti Ethereum-sillan hallintaan 3/6-mallista Gnosis Safe -lompakkoa. Jos kolme kuudesta avaimesta kuitenkin säilytetään yhden työntekijän tietokoneella, fyysinen avaintenhallinta muodostaa käytännössä yhden kriittisen riskikeskittymän. Moniallekirjoitus on vain niin vahva kuin avainten säilytys ja niiden haltijoiden erillisyys .

2. Ihmiset ovat edelleen Web3:n heikoin lenkki

Hajautettu infrastruktuuri voi näyttää teknisesti riippumattomalta, mutta ylläpitäjien laitteet, sähköpostit ja lompakot ovat edelleen keskitettyjä hyökkäyskohteita. Tässä tapauksessa yksi uskottavalta näyttänyt sähköposti johti seitsemän avaimen menetykseen.

3. Ketjujen väliset sillat ovat houkuttelevia kohteita

Sillat hallitsevat usein suuria ja nopeasti siirrettäviä varoja, mutta niiden hallinta voi nojata pieneen määrään ylläpitoavaimia. Ethereum- ja BNB Smart Chain -operaatiot osoittavat, että siltaturvallisuus tarkoittaa älysopimusten auditoinnin lisäksi avaintenhallintaa, käyttöoikeuksia ja valvontaa .

4. Hakkeroinnin jälkeinen kurssiralli voi olla ansa

H-tokenin 210 prosentin nousu houkutteli markkinoille treidaajia, jotka tavoittelivat nopeaa palautumista. Vipupositioiden voimakas kasvu teki kaupankäynnistä kuitenkin haavoittuvan. Kun yksi verkon käyttöönotto oli yhä hyökkääjien hallussa, uusi romahdusriski ei ollut pelkkää teoreettista spekulaatiota .

5. Tapaus lisää sääntelypaineita

Kun kryptovarkaudesta epäillään valtiollisiin toimijoihin kytkeytyviä hakkeriryhmiä, huomio kohdistuu väistämättä myös alan valvontaan. KYC- ja AML-käytännöt, säilytysratkaisut, yksityisten avainten hallinta ja ketjujen välisten siltojen pakolliset turvallisuustarkastukset voivat joutua aiempaa tarkempaan syyniin .