Dans les Coulisses du Piratage à 36 M$ de Humanity Protocol

Un email d'hameçonnage déguisé en message anodin de la plateforme d'échange sud-coréenne Bithumb a déclenché l'une des brèches de sécurité les plus dévastatrices du Web3 en 2026. Le 8 juin, les attaquants ont utilisé cet email pour compromettre l'ordinateur d'un directeur de Humanity Protocol, un projet d'identité biométrique, repartant avec environ 36 millions de dollars en jetons H. L'attaque s'est déroulée sur Ethereum et la BNB Smart Chain, provoquant un krach de 74 % du cours, rapidement suivi d'un rebond spéculatif de 210 % qui a suscité autant d'inquiétudes que d'espoirs .

La société de sécurité blockchain Quantstamp, mandatée dès le lendemain, a publié ses conclusions préliminaires le 11 juin et officiellement attribué l'attaque à des hackers liés à l'État nord-coréen le 14 juin. Le rapport détaille une opération chirurgicale en plusieurs étapes qui a entièrement contourné les contrats intelligents pour cibler le maillon humain d'un système prétendument décentralisé .

L'Attaque : Un Email d'Hameçonnage, un Ordinateur Compromis

Le point d'entrée était d'une banalité trompeuse. Le 5 juin, le directeur Chong Yee Wai a reçu un email qui semblait provenir de Bithumb, discutant d'un calendrier de blocage de l'offre en circulation. Il contenait une pièce jointe ZIP malveillante .

Lorsque la pièce jointe a été ouverte, elle a installé un logiciel malveillant — plus précisément un fichier nommé hncagent.exe — signé numériquement à l'aide d'un certificat sud-coréen légitime de la société Hancom. Quantstamp a noté que cette technique de signature de certificat est une marque de fabrique reconnue des cyber-opérations nord-coréennes .

Une fois installé, le malware a accordé aux attaquants un accès à distance complet à l'ordinateur portable du directeur. Depuis cette seule machine, ils ont exfiltré sept clés privées : trois des six clés de propriétaire du portefeuille multi-signatures Gnosis Safe qui régissait le pont Ethereum, ainsi que des clés supplémentaires permettant les mises à niveau de contrats .

Comment l'Exploit s'est Déroulé sur Deux Chaînes

Avec le contrôle des clés d'administration du pont, les attaquants ont exécuté des attaques parallèles sur Ethereum et la BNB Smart Chain dans une fenêtre de temps coordonnée :

Sur Ethereum :

• Les attaquants ont mis à niveau le contrat du pont de jetons H vers une version malveillante sous leur contrôle .
• Ils ont ensuite drainé environ 141 millions de jetons H du pont en une seule transaction .
• Les jetons volés ont été en grande partie échangés ou transférés vers d'autres actifs et déplacés vers des portefeuilles externes, rendant la récupération extrêmement difficile .

Sur la BNB Smart Chain :

• Les attaquants ont pris le contrôle du contrat ProxyAdmin .
• En utilisant cet accès, ils ont créé de nouveaux jetons H directement, générant effectivement une nouvelle offre à partir de rien .
• Les jetons volés et nouvellement créés ont ensuite été systématiquement vendus sur Uniswap et PancakeSwap pendant environ huit heures, effondrant le cours du jeton .

Fait crucial, l'attaque n'a pas exploité de bug dans un contrat intelligent. Il s'agissait d'une pure compromission de clés, provoquée par une campagne d'hameçonnage ciblant un humain. Humanity Protocol a d'ailleurs confirmé ce point par la suite, en déclarant qu'aucun contrat intelligent n'avait été exploité .

Les Conclusions de l'Enquête de Quantstamp et le Lien avec la Corée du Nord

Humanity Protocol a engagé Quantstamp le 9 juin, au lendemain de la brèche. La société de sécurité a publié son rapport d'enquête préliminaire le 11 juin, et le projet a publiquement attribué le vol à des pirates liés à la Corée du Nord le 12 juin, avant de divulguer l'intégralité des conclusions de Quantstamp le 14 juin .

Les principaux indicateurs médico-légaux qui ont orienté Quantstamp vers des acteurs de la menace liés à la RPDC (République Populaire Démocratique de Corée) incluent :

• L'outillage et le comportement du malware : L'utilisation de hncagent.exe comme chargeur de première étape, ainsi que les schémas d'accès à distance observés, correspondent à des ensembles d'intrusion nord-coréens connus .
• L'abus de certificat numérique : Le malware était signé avec un certificat numérique sud-coréen légitime de Hancom, une tactique que Quantstamp a identifiée comme caractéristique des opérations précédentes liées à la RPDC .
• La technique opérationnelle : L'approche en plusieurs étapes — hameçonnage, exfiltration de clés, drainage inter-chaînes — reflète le mode opératoire d'ingénierie sociale lourdement associé depuis longtemps au groupe Lazarus et à ses affiliés, qui ont dérobé plus de 3 milliards de dollars en cryptomonnaies par des méthodes similaires .

Le rapport a également clarifié le risque persistant : alors que le contrat du jeton H sur Ethereum a été gelé par un portefeuille multi-signatures non compromis, le déploiement sur la BNB Smart Chain reste définitivement sous le contrôle des attaquants, avec une capacité continue de création de jetons .

Le Krach du Jeton H et le Rebond de 210 %

Le Krach

Au lendemain immédiat de l'exploit du 8 juin, le cours du jeton H a plongé. Depuis un sommet historique de 0,844 $ le 2 juin, le jeton s'est effondré d'environ 74 %, touchant des points bas entre 0,05 $ et 0,13 $ dans un mouvement de panique .

Les Rebonds Successifs

Une série de rebonds techniques a suivi :

• 12 juin : Le H a bondi d'environ 44 % en une seule journée, s'échangeant de nouveau autour de 0,227 $. Ce rebond a été alimenté par l'annonce des mesures d'atténuation de Humanity Protocol et le gel du contrat Ethereum .
• 14 juin : Un autre rallye de 42 % en une journée a poussé le jeton à un sommet de 0,6276 $, représentant une hausse d'environ 210 % par rapport à ses plus bas niveaux post-exploit .

Pourquoi cette Hausse était Risquée

Cette reprise spectaculaire ne reposait pas sur des fondamentaux restaurés. Les données de CoinMarketCap ont montré que la flambée du 14 juin s'est accompagnée d'une hausse de 131 % de l'Intérêt Ouvert (Open Interest) à 213 millions de dollars, indiquant un afflux massif de positions spéculatives à effet de levier . L'analyse de CoinMarketCap a explicitement signalé que cette accumulation d'effet de levier comportait un risque élevé de volatilité, avertissant que tout retournement soudain pourrait déclencher des liquidations en cascade .

Le 15 juin, le jeton était déjà retombé autour de 0,23 $ - 0,30 $, confirmant la fragilité du rallye spéculatif .

Implications Plus Larges pour la Sécurité du Web3

La brèche de Humanity Protocol n'est pas un incident isolé — c'est une illustration criante des vulnérabilités structurelles qui persistent dans le Web3, même au sein de projets explicitement conçus autour de la décentralisation.

1. Le mythe de la décentralisation par la multi-signature. Humanity utilisait un coffre-fort Gnosis Safe de type 3-sur-6 pour le contrôle du pont. Pourtant, trois de ces six clés étaient stockées sur l'ordinateur portable d'un seul employé. La brèche démontre qu'un système multi-signatures n'est aussi sûr que la garde physique distribuée de ses clés — une réalité que de nombreux projets négligent encore .

2. Le piratage nord-coréen est désormais une menace prévisible et répétitive. Les unités cyber de la RPDC, y compris le groupe Lazarus, ont peaufiné un mode opératoire reproductible : identifier un projet crypto, compromettre un développeur ou un cadre par ingénierie sociale, voler les clés privées et drainer les fonds à travers les chaînes. Humanity Protocol est la dernière entrée d'une liste qui ne cesse de s'allonger .

3. Les ponts inter-chaînes restent des points de passage critiques. De par leur conception, les ponts détiennent d'importants pools d'actifs liquides contrôlés par un petit nombre de clés d'administration. Cela en fait des cibles irrésistibles. L'exploitation simultanée des ponts Ethereum et BSC lors de cette attaque renforce la raison pour laquelle la sécurité des ponts — pas seulement l'audit des contrats intelligents, mais la gestion des clés et le contrôle d'accès — devrait être la priorité absolue pour tout projet inter-chaînes .

4. Les rebonds post-exploit peuvent être des pièges. La flambée de 210 % du jeton H a attiré des traders en quête d'une reprise rapide, mais les données sur l'effet de levier suggéraient une transaction encombrée et instable. Lorsqu'un jeton rebondit sur la spéculation plutôt que sur une résolution crédible — surtout lorsqu'une chaîne reste définitivement compromise — le risque d'un second krach n'est pas théorique .

5. La pression réglementaire va s'intensifier. Lorsqu'un acteur étatique comme la Corée du Nord est impliqué dans un vol de crypto, les régulateurs prennent note. Attendez-vous à une surveillance renouvelée sur la conformité KYC/AML (connaissance du client et lutte contre le blanchiment d'argent), les normes de gestion des clés de conservation et les audits de sécurité obligatoires — en particulier pour les protocoles exploitant des ponts inter-chaînes qui détiennent des fonds d'utilisateurs .