कैसे एक नकली बिथम्ब ईमेल ने $36 मिलियन का ह्यूमैनिटी प्रोटोकॉल हैक करा दिया

दक्षिण कोरियाई क्रिप्टो एक्सचेंज बिथम्ब (Bithumb) से आए एक मामूली ईमेल की तरह दिखने वाले एक फ़िशिंग ईमेल ने 2026 के सबसे नुकसानदायक वेब3 सुरक्षा उल्लंघनों में से एक को अंजाम दे दिया। 8 जून को, हैकरों ने उस ईमेल के ज़रिए एक बायोमेट्रिक आइडेंटिटी प्रोजेक्ट, ह्यूमैनिटी प्रोटोकॉल (Humanity Protocol) के एक डायरेक्टर का लैपटॉप हैक कर लिया और लगभग $36 मिलियन (करीब 312 करोड़ रुपये) के H टोकन लेकर फरार हो गए। यह हमला एथेरियम (Ethereum) और बीएनबी स्मार्ट चेन (BNB Smart Chain) दोनों पर एक साथ हुआ, जिसके बाद टोकन की कीमत में 74% की भारी गिरावट आई। हैरानी की बात यह है कि गिरावट के तुरंत बाद 210% की सट्टा-आधारित रिकवरी हुई, जिसने उम्मीदों से ज्यादा चिंताएं बढ़ा दीं ।

ब्लॉकचेन सुरक्षा फर्म क्वांटस्टैम्प (Quantstamp), जिसे हैक के अगले ही दिन काम पर रखा गया था, ने 11 जून को अपनी शुरुआती जांच रिपोर्ट जारी की और 14 जून तक औपचारिक रूप से इस हमले को उत्तर कोरियाई राज्य-समर्थित हैकरों से जोड़ दिया। इस रिपोर्ट में एक सुनियोजित, मल्टी-स्टेज ऑपरेशन का खुलासा हुआ, जिसने स्मार्ट कॉन्ट्रैक्ट्स को पूरी तरह दरकिनार कर एक कथित 'विकेंद्रीकृत' सिस्टम की सबसे कमज़ोर कड़ी – इंसान – को निशाना बनाया ।

हमला: एक फ़िशिंग ईमेल, एक समझौता किया गया लैपटॉप

इस करोड़ों की चोरी की शुरुआत बेहद आम तरीके से हुई। 5 जून 2026 को, ह्यूमैनिटी प्रोटोकॉल के डायरेक्टर चोंग यी वाई (Chong Yee Wai) को एक ईमेल मिला जो बिल्कुल बिथम्ब एक्सचेंज से आया हुआ लग रहा था। इसमें H टोकन की सर्कुलेटिंग सप्लाई को लॉक करने के शेड्यूल पर चर्चा की गई थी और एक ज़िप फ़ाइल अटैचमेंट थी ।

जब उस अटैचमेंट को खोला गया, तो उसने hncagent.exe नाम का एक मैलवेयर इंस्टॉल कर दिया। यह मैलवेयर एक वैध दक्षिण कोरियाई कंपनी हैनकॉम (Hancom) के डिजिटल सर्टिफिकेट से साइन था। क्वांटस्टैम्प ने स्पष्ट किया कि इस तरह के सर्टिफिकेट का इस्तेमाल उत्तर कोरियाई साइबर ऑपरेशनों की एक जानी-पहचानी पहचान है ।

इंस्टॉल होते ही, मैलवेयर ने हैकरों को डायरेक्टर के लैपटॉप का पूरा रिमोट कंट्रोल दे दिया। उसी एक मशीन से, उन्होंने सात निजी कुंजियाँ (Private Keys) चुरा लीं: तीन चाबियाँ उस ग्नोसिस सेफ मल्टी-सिग्नेचर वॉलेट की थीं जो एथेरियम ब्रिज को नियंत्रित करता था, और बाकी चाबियों से वे कॉन्ट्रैक्ट को अपग्रेड करने में सक्षम थे ।

दो चेन पर एक साथ हमला

ब्रिज एडमिनिस्ट्रेशन की चाबियों पर कब्ज़ा करने के बाद, हैकरों ने एक समन्वित विंडो में एथेरियम और बीएससी पर समानांतर हमले किए:

एथेरियम पर:

• हैकरों ने H टोकन ब्रिज कॉन्ट्रैक्ट को अपग्रेड करके अपने नियंत्रण वाले एक नुकसानदेह वर्शन में बदल दिया ।
• फिर उन्होंने एक ही ट्रांज़ैक्शन में ब्रिज से करीब 141 मिलियन H टोकन निकाल लिए ।
• चुराए गए ज़्यादातर टोकन को तुरंत दूसरी एसेट्स में बदलकर या ब्रिज करके बाहरी वॉलेट्स में भेज दिया गया, जिससे रिकवरी लगभग नामुमकिन हो गई ।

बीएनबी स्मार्ट चेन (बीएससी) पर:

• हैकरों ने प्रॉक्सीएडमिन कॉन्ट्रैक्ट पर कब्ज़ा कर लिया ।
• इस एक्सेस का इस्तेमाल करके, उन्होंने सीधे नए H टोकन मिंट कर लिए, मानो हवा से नई सप्लाई बना दी हो ।
• इन नए और चुराए गए टोकन को फिर करीब आठ घंटों तक यूनिस्वैप (Uniswap) और पैनकेकस्वैप (PancakeSwap) पर सुनियोजित तरीके से बेचा गया, जिससे टोकन की कीमत धड़ाम हो गई ।

सबसे अहम बात यह है कि इस हमले ने किसी स्मार्ट कॉन्ट्रैक्ट की तकनीकी खामी का फायदा नहीं उठाया। यह पूरी तरह से निजी चाबियों की चोरी पर आधारित था, जिसकी शुरुआत एक इंसान को निशाना बनाकर की गई फ़िशिंग से हुई। ह्यूमैनिटी प्रोटोकॉल ने बाद में खुद पुष्टि की कि किसी भी स्मार्ट कॉन्ट्रैक्ट के साथ छेड़छाड़ नहीं की गई थी ।

क्वांटस्टैम्प की फोरेंसिक खोज और उत्तर कोरिया कनेक्शन

हमले के एक दिन बाद, 9 जून को ह्यूमैनिटी प्रोटोकॉल ने क्वांटस्टैम्प को हायर किया। फर्म ने 11 जून को अपनी प्रारंभिक जांच रिपोर्ट जारी की और प्रोजेक्ट ने 12 जून को सार्वजनिक रूप से इस चोरी को उत्तर कोरिया से जुड़े हैकरों को जिम्मेदार ठहराया। 14 जून को क्वांटस्टैम्प के पूरे निष्कर्षों का खुलासा किया गया ।

वे प्रमुख फोरेंसिक संकेत जिन्होंने क्वांटस्टैम्प को डीपीआरके (उत्तर कोरिया) से जुड़े खतरों की ओर इशारा किया:

• मैलवेयर टूल्स और व्यवहार: hncagent.exe का पहले चरण के लोडर के रूप में इस्तेमाल और देखे गए रिमोट एक्सेस पैटर्न, पहले से ज्ञात उत्तर कोरियाई घुसपैठ सेट से मेल खाते हैं ।
• डिजिटल सर्टिफिकेट का दुरुपयोग: मैलवेयर एक वैध हैनकॉम डिजिटल सर्टिफिकेट से साइन था, एक ऐसी रणनीति जिसे क्वांटस्टैम्प ने पिछले डीपीआरके-लिंक्ड ऑपरेशनों की खासियत बताया ।
• ऑपरेशनल तरीका: फ़िशिंग से लेकर चाबी की चोरी और फिर क्रॉस-चेन ड्रेन तक का यह मल्टी-स्टेज तरीका, लाज़रस ग्रुप (Lazarus Group) और उसके सहयोगियों की सोशल इंजीनियरिंग वाली पुरानी रणनीति की याद दिलाता है। माना जाता है कि ये समूह अब तक इसी तरह के तरीकों से $3 बिलियन से अधिक की क्रिप्टोकरेंसी चुरा चुके हैं ।

रिपोर्ट ने लगातार बने खतरे को भी स्पष्ट किया: जहां एथेरियम पर H टोकन कॉन्ट्रैक्ट को एक सुरक्षित मल्टी-सिग वॉलेट द्वारा फ्रीज़ कर दिया गया, वहीं बीएनबी स्मार्ट चेन की डिप्लॉयमेंट स्थायी रूप से हैकर के नियंत्रण में है, और उनके पास अभी भी नए टोकन मिंट करने की क्षमता मौजूद है ।

H टोकन का क्रैश और 210% का उछाल

भारी गिरावट

8 जून के हमले के तुरंत बाद, H टोकन की कीमत धड़ाम से गिर गई। 2 जून के $0.844 के ऑल-टाइम हाई से, पैनिक सेलिंग में टोकन लगभग 74% टूटकर $0.05 और $0.13 के बीच के निचले स्तर पर आ गया ।

राहत भरी रैलियाँ

इसके बाद कई राहत रैलियों का दौर आया:

• 12 जून: ह्यूमैनिटी प्रोटोकॉल की मिटिगेशन घोषणा और एथेरियम कॉन्ट्रैक्ट के फ्रीज़ होने से H ने एक ही दिन में लगभग 44% की छलांग लगाई और करीब $0.227 पर ट्रेड करने लगा ।
• 14 जून: एक और 42% की एक दिवसीय रैली ने टोकन को $0.6276 के हाई पर पहुंचा दिया, जो कि उसके हमले के बाद के निचले स्तर से लगभग 210% का उछाल था ।

यह उछाल जोखिम भरा क्यों था

यह नाटकीय रिकवरी किसी बुनियादी मजबूती पर नहीं बनी थी। कॉइनमार्केटकैप (CoinMarketCap) के डेटा से पता चला कि 14 जून के उछाल के साथ ओपन इंटरेस्ट (Open Interest) में 131% की बढ़ोतरी हुई और यह $213 मिलियन तक पहुंच गया, जो बाजार में सट्टा लीवरेज्ड पोजीशनों की भारी एंट्री का संकेत था । कॉइनमार्केटकैप के विश्लेषण ने साफ चेतावनी दी कि लीवरेज का यह निर्माण अस्थिरता का बहुत बड़ा जोखिम लेकर आया है, और किसी भी अचानक उलटफेर से कैस्केडिंग लिक्विडेशन (एक के बाद एक पोजीशनों की बिक्री) शुरू हो सकती है ।

15 जून तक, टोकन वापस लगभग $0.23-$0.30 पर आ गया था, जिसने इस सट्टा रैली की कमज़ोर बुनियाद को साबित कर दिया ।

वेब3 सुरक्षा के लिए बड़े संकेत

ह्यूमैनिटी प्रोटोकॉल की सेंध कोई अकेली घटना नहीं है – यह उन संरचनात्मक कमज़ोरियों का एक टेक्स्टबुक उदाहरण है जो वेब3 में लगातार बनी हुई हैं, खासकर उन प्रोजेक्ट्स में जो स्पष्ट रूप से विकेंद्रीकरण के लिए डिज़ाइन किए गए हैं।

1. मल्टी-सिग के ज़रिए विकेंद्रीकरण का मिथक। ह्यूमैनिटी ने ब्रिज कंट्रोल के लिए 3-ऑफ-6 ग्नोसिस सेफ का इस्तेमाल किया था। फिर भी, उन छह में से तीन चाबियां एक ही कर्मचारी के लैपटॉप पर रखी हुई थीं। यह हमला दिखाता है कि मल्टी-सिग्नेचर स्कीम उतनी ही सुरक्षित है जितना कि इसकी चाबियों का वास्तविक और भौतिक रूप से वितरित होना – एक ऐसी हकीकत जिसे कई प्रोजेक्ट अब भी नज़रअंदाज करते हैं ।

2. उत्तर कोरियाई हैकिंग अब एक पूर्वानुमेय, बार-बार होने वाला खतरा है। लाज़रस ग्रुप सहित डीपीआरके की साइबर इकाइयों ने एक दोहराने लायक रणनीति बना ली है: क्रिप्टो प्रोजेक्ट की पहचान करो, सोशल इंजीनियरिंग से किसी डेवलपर या एग्ज़ीक्यूटिव को फंसाओ, निजी चाबियां चुराओ, और चेन दर चेन फंड निकाल लो। ह्यूमैनिटी प्रोटोकॉल इसी लंबी और बढ़ती सूची का नवीनतम नाम है ।

3. क्रॉस-चेन ब्रिज अब भी सबसे नाज़ुक मोर्चा हैं। डिजाइन के हिसाब से ही, ब्रिज बड़े, लिक्विड एसेट पूल रखते हैं जो चंद एडमिन चाबियों से नियंत्रित होते हैं। यह उन्हें एक अनदेखा करने लायक निशाना बनाता है। इस हमले में एथेरियम और बीएससी ब्रिजों का एक साथ शोषण इस बात पर जोर देता है कि किसी भी क्रॉस-चेन प्रोजेक्ट के लिए ब्रिज सुरक्षा – सिर्फ स्मार्ट कॉन्ट्रैक्ट ऑडिट ही नहीं, बल्कि चाबी प्रबंधन और एक्सेस कंट्रोल – सर्वोच्च प्राथमिकता होनी चाहिए ।

4. हमले के बाद की रैलियां जाल हो सकती हैं। H टोकन का 210% उछाल तेजी से रिकवरी का पीछा कर रहे ट्रेडर्स को आकर्षित कर गया, लेकिन लीवरेज डेटा ने भीड़-भाड़ वाले और अस्थिर ट्रेड का संकेत दिया। जब कोई टोकन किसी विश्वसनीय समाधान के बजाय सट्टे पर उछलता है – खासकर तब जब एक चेन स्थायी रूप से हैक हो – तो दूसरी बड़ी गिरावट का जोखिम काल्पनिक नहीं होता ।

5. नियामक दबाव बढ़ेगा। जब उत्तर कोरिया जैसे राज्य तत्व का क्रिप्टो चोरी में हाथ पाया जाता है, तो नियामक सतर्क हो जाते हैं। केवाईसी/एएमएल अनुपालन, कस्टोडियल चाबी प्रबंधन मानकों और अनिवार्य सुरक्षा ऑडिट पर नए सिरे से कड़ी निगरानी की उम्मीद रखें – खासकर उन प्रोटोकॉल के लिए जो यूज़र फंड रखने वाले क्रॉस-चेन ब्रिज संचालित करते हैं ।