Serangan: Satu Email Phishing, Satu Laptop Terkompromi

Titik masuknya sangat sederhana. Pada 5 Juni, direktur Chong Yee Wai menerima email yang tampaknya berasal dari Bithumb, yang membahas jadwal lockup pasokan yang beredar. Email itu membawa lampiran ZIP berbahaya .

Ketika lampiran dibuka, ia menginstal malware—khususnya file bernama hncagent.exe—yang ditandatangani secara digital menggunakan sertifikat Korea Selatan yang sah dari Hancom. Quantstamp mencatat bahwa pola penandatanganan sertifikat ini adalah ciri khas operasi siber Korea Utara .

Setelah terinstal, malware memberikan akses jarak jauh penuh kepada peretas ke laptop direktur tersebut. Dari satu mesin itu, mereka mengekstrak tujuh kunci pribadi: tiga dari enam kunci pemilik multi-signature Gnosis Safe yang mengatur jembatan Ethereum, ditambah kunci tambahan yang memungkinkan peningkatan kontrak .

Bagaimana Eksploitasi Terjadi di Dua Rantai

Dengan kendali atas kunci administrasi jembatan, para peretas melancarkan serangan paralel di Ethereum dan BNB Smart Chain dalam jendela waktu yang terkoordinasi:

Di Ethereum:

• Para peretas meningkatkan kontrak jembatan token H ke versi berbahaya yang mereka kendalikan .
• Mereka kemudian menguras sekitar 141 juta token H dari jembatan dalam satu transaksi .
• Token curian sebagian besar ditukar atau dijembatani ke aset lain dan dipindahkan ke dompet eksternal, membuat pemulihan menjadi sangat sulit .

Di BNB Smart Chain:

• Para peretas mengambil alih kontrak ProxyAdmin .
• Menggunakan akses ini, mereka mencetak token H tambahan secara langsung, secara efektif menciptakan pasokan baru dari ketiadaan .
• Token yang baru dicetak dan dicuri kemudian secara sistematis dijual di Uniswap dan PancakeSwap selama sekitar delapan jam, menyebabkan harga token jatuh .

Yang penting, serangan ini tidak mengeksploitasi bug di kontrak pintar mana pun. Itu adalah pelanggaran murni kompromi kunci yang didorong oleh kampanye phishing yang ditargetkan pada manusia. Humanity Protocol kemudian secara eksplisit mengonfirmasi poin ini, dengan menyatakan bahwa tidak ada kontrak pintar yang dieksploitasi .

Temuan Forensik Quantstamp dan Kaitan Korea Utara

Humanity Protocol mempekerjakan Quantstamp pada 9 Juni, satu hari setelah pelanggaran. Firma keamanan tersebut merilis laporan investigasi awal pada 11 Juni, dan proyek tersebut secara publik mengaitkan pencurian itu dengan peretas yang terkait dengan Korea Utara pada 12 Juni, diikuti dengan pengungkapan penuh temuan Quantstamp pada 14 Juni .

Indikator forensik utama yang mengarahkan Quantstamp ke aktor ancaman yang terkait dengan Korea Utara meliputi:

• Alat dan perilaku malware: Penggunaan hncagent.exe sebagai pemuat tahap pertama, bersama dengan pola akses jarak jauh yang diamati, cocok dengan set intrusi Korea Utara yang dikenal .
• Penyalahgunaan sertifikat digital: Malware ditandatangani dengan sertifikat digital Korea Selatan yang sah dari Hancom, sebuah taktik yang diidentifikasi Quantstamp sebagai ciri khas operasi terkait Korea Utara sebelumnya .
• Keahlian operasional: Pendekatan multi-tahap dari phishing ke eksfiltrasi kunci hingga pengurasan lintas rantai mencerminkan buku pedoman rekayasa sosial berat yang telah lama dikaitkan dengan Grup Lazarus dan afiliasinya, yang telah mencuri lebih dari $3 miliar dalam mata uang kripto melalui metode serupa .

Laporan tersebut juga menjelaskan risiko yang sedang berlangsung: sementara kontrak token H di Ethereum dibekukan oleh dompet multi-signature yang tidak dikompromikan, penerapan BNB Smart Chain tetap berada di bawah kendali peretas secara permanen, dengan kemampuan pencetakan yang berkelanjutan .

Kejatuhan Token H dan Lonjakan 210%

Kejatuhan

Setelah eksploitasi 8 Juni, harga token H merosot tajam. Dari harga tertinggi sepanjang masa $0,844 pada 2 Juni, token tersebut jatuh sekitar 74%, menyentuh level terendah antara $0,05 dan $0,13 dalam aksi jual panik .

Reli Pemulihan

Serangkaian reli pemulihan terjadi:

• 12 Juni: H melonjak sekitar 44% dalam satu hari, diperdagangkan kembali ke sekitar $0,227. Lonjakan ini didorong oleh pengumuman mitigasi Humanity Protocol dan pembekuan kontrak Ethereum .
• 14 Juni: Reli satu hari lainnya sebesar 42% mendorong token ke level tertinggi $0,6276, mewakili lonjakan sekitar 210% dari level terendah pasca-eksploitasi .

Mengapa Lonjakan Itu Berisiko

Pemulihan dramatis ini tidak dibangun di atas fundamental yang pulih. Data dari CoinMarketCap menunjukkan bahwa lonjakan 14 Juni disertai dengan lonjakan 131% dalam Open Interest menjadi $213 juta, yang menunjukkan masuknya posisi leverage spekulatif dalam jumlah besar . Analisis CoinMarketCap secara eksplisit menandai bahwa akumulasi leverage ini membawa risiko volatilitas tinggi, memperingatkan bahwa pembalikan mendadak dapat memicu likuidasi berantai .

Pada 15 Juni, token telah turun kembali ke sekitar $0,23-$0,30, mengonfirmasi kerapuhan reli spekulatif tersebut .

Implikasi Lebih Luas untuk Keamanan Web3

Pelanggaran Humanity Protocol bukanlah insiden yang terisolasi—ini adalah ilustrasi teks book dari kerentanan struktural yang terus ada di seluruh Web3, bahkan di proyek yang secara eksplisit dirancang untuk desentralisasi.

1. Mitos desentralisasi melalui multi-sig. Humanity menggunakan Gnosis Safe 3-of-6 untuk kontrol jembatan. Namun, tiga dari enam kunci itu disimpan di satu laptop karyawan. Pelanggaran ini menunjukkan bahwa skema multi-signature hanya seaman distribusi fisik kunci-kuncinya—sebuah kenyataan yang masih diabaikan banyak proyek .

2. Peretasan Korea Utara kini menjadi ancaman yang dapat diprediksi dan berulang. Unit siber Korea Utara, termasuk Grup Lazarus, telah menyempurnakan buku pedoman yang dapat diulang: identifikasi proyek kripto, kompromikan pengembang atau eksekutif melalui rekayasa sosial, curi kunci pribadi, dan kuras dana di seluruh rantai. Humanity Protocol adalah entri terbaru dalam daftar yang panjang dan terus bertambah .

3. Jembatan lintas rantai tetap menjadi titik tersedak yang kritis. Secara desain, jembatan menyimpan kumpulan aset likuid besar yang dikendalikan oleh sejumlah kecil kunci admin. Ini menjadikannya target yang tak tertahankan. Eksploitasi simultan jembatan Ethereum dan BSC dalam serangan ini memperkuat mengapa keamanan jembatan—bukan hanya audit kontrak pintar tetapi juga manajemen kunci dan kontrol akses—harus menjadi prioritas utama bagi proyek lintas rantai mana pun .

4. Reli pasca-eksploitasi bisa menjadi jebakan. Lonjakan 210% token H menarik para pedagang yang mengejar pemulihan cepat, tetapi data leverage menunjukkan perdagangan yang padat dan tidak stabil. Ketika token melambung karena spekulasi, bukan resolusi yang kredibel—terutama dengan satu rantai yang masih terkompromikan secara permanen—risiko kejatuhan kedua bukanlah hal yang teoritis .

5. Tekanan regulasi akan meningkat. Ketika aktor negara seperti Korea Utara terlibat dalam pencurian kripto, regulator akan memberikan perhatian. Harapkan pengawasan yang lebih ketat pada kepatuhan KYC/AML, standar manajemen kunci kustodian, dan audit keamanan wajib—terutama untuk protokol yang mengoperasikan jembatan lintas rantai yang menyimpan dana pengguna .

Serangan: Satu Email Phishing, Satu Laptop Terkompromi

Titik masuknya sangat sederhana. Pada 5 Juni, direktur Chong Yee Wai menerima email yang tampaknya berasal dari Bithumb, yang membahas jadwal lockup pasokan yang beredar. Email itu membawa lampiran ZIP berbahaya .

Ketika lampiran dibuka, ia menginstal malware—khususnya file bernama hncagent.exe—yang ditandatangani secara digital menggunakan sertifikat Korea Selatan yang sah dari Hancom. Quantstamp mencatat bahwa pola penandatanganan sertifikat ini adalah ciri khas operasi siber Korea Utara .

Setelah terinstal, malware memberikan akses jarak jauh penuh kepada peretas ke laptop direktur tersebut. Dari satu mesin itu, mereka mengekstrak tujuh kunci pribadi: tiga dari enam kunci pemilik multi-signature Gnosis Safe yang mengatur jembatan Ethereum, ditambah kunci tambahan yang memungkinkan peningkatan kontrak .

Bagaimana Eksploitasi Terjadi di Dua Rantai

Dengan kendali atas kunci administrasi jembatan, para peretas melancarkan serangan paralel di Ethereum dan BNB Smart Chain dalam jendela waktu yang terkoordinasi:

Di Ethereum:

• Para peretas meningkatkan kontrak jembatan token H ke versi berbahaya yang mereka kendalikan .
• Mereka kemudian menguras sekitar 141 juta token H dari jembatan dalam satu transaksi .
• Token curian sebagian besar ditukar atau dijembatani ke aset lain dan dipindahkan ke dompet eksternal, membuat pemulihan menjadi sangat sulit .

Di BNB Smart Chain:

• Para peretas mengambil alih kontrak ProxyAdmin .
• Menggunakan akses ini, mereka mencetak token H tambahan secara langsung, secara efektif menciptakan pasokan baru dari ketiadaan .
• Token yang baru dicetak dan dicuri kemudian secara sistematis dijual di Uniswap dan PancakeSwap selama sekitar delapan jam, menyebabkan harga token jatuh .

Yang penting, serangan ini tidak mengeksploitasi bug di kontrak pintar mana pun. Itu adalah pelanggaran murni kompromi kunci yang didorong oleh kampanye phishing yang ditargetkan pada manusia. Humanity Protocol kemudian secara eksplisit mengonfirmasi poin ini, dengan menyatakan bahwa tidak ada kontrak pintar yang dieksploitasi .

Temuan Forensik Quantstamp dan Kaitan Korea Utara

Humanity Protocol mempekerjakan Quantstamp pada 9 Juni, satu hari setelah pelanggaran. Firma keamanan tersebut merilis laporan investigasi awal pada 11 Juni, dan proyek tersebut secara publik mengaitkan pencurian itu dengan peretas yang terkait dengan Korea Utara pada 12 Juni, diikuti dengan pengungkapan penuh temuan Quantstamp pada 14 Juni .

Indikator forensik utama yang mengarahkan Quantstamp ke aktor ancaman yang terkait dengan Korea Utara meliputi:

• Alat dan perilaku malware: Penggunaan hncagent.exe sebagai pemuat tahap pertama, bersama dengan pola akses jarak jauh yang diamati, cocok dengan set intrusi Korea Utara yang dikenal .
• Penyalahgunaan sertifikat digital: Malware ditandatangani dengan sertifikat digital Korea Selatan yang sah dari Hancom, sebuah taktik yang diidentifikasi Quantstamp sebagai ciri khas operasi terkait Korea Utara sebelumnya .
• Keahlian operasional: Pendekatan multi-tahap dari phishing ke eksfiltrasi kunci hingga pengurasan lintas rantai mencerminkan buku pedoman rekayasa sosial berat yang telah lama dikaitkan dengan Grup Lazarus dan afiliasinya, yang telah mencuri lebih dari $3 miliar dalam mata uang kripto melalui metode serupa .

Laporan tersebut juga menjelaskan risiko yang sedang berlangsung: sementara kontrak token H di Ethereum dibekukan oleh dompet multi-signature yang tidak dikompromikan, penerapan BNB Smart Chain tetap berada di bawah kendali peretas secara permanen, dengan kemampuan pencetakan yang berkelanjutan .

Kejatuhan Token H dan Lonjakan 210%

Kejatuhan

Setelah eksploitasi 8 Juni, harga token H merosot tajam. Dari harga tertinggi sepanjang masa $0,844 pada 2 Juni, token tersebut jatuh sekitar 74%, menyentuh level terendah antara $0,05 dan $0,13 dalam aksi jual panik .

Reli Pemulihan

Serangkaian reli pemulihan terjadi:

• 12 Juni: H melonjak sekitar 44% dalam satu hari, diperdagangkan kembali ke sekitar $0,227. Lonjakan ini didorong oleh pengumuman mitigasi Humanity Protocol dan pembekuan kontrak Ethereum .
• 14 Juni: Reli satu hari lainnya sebesar 42% mendorong token ke level tertinggi $0,6276, mewakili lonjakan sekitar 210% dari level terendah pasca-eksploitasi .

Mengapa Lonjakan Itu Berisiko

Pemulihan dramatis ini tidak dibangun di atas fundamental yang pulih. Data dari CoinMarketCap menunjukkan bahwa lonjakan 14 Juni disertai dengan lonjakan 131% dalam Open Interest menjadi $213 juta, yang menunjukkan masuknya posisi leverage spekulatif dalam jumlah besar . Analisis CoinMarketCap secara eksplisit menandai bahwa akumulasi leverage ini membawa risiko volatilitas tinggi, memperingatkan bahwa pembalikan mendadak dapat memicu likuidasi berantai .

Pada 15 Juni, token telah turun kembali ke sekitar $0,23-$0,30, mengonfirmasi kerapuhan reli spekulatif tersebut .

Implikasi Lebih Luas untuk Keamanan Web3

Pelanggaran Humanity Protocol bukanlah insiden yang terisolasi—ini adalah ilustrasi teks book dari kerentanan struktural yang terus ada di seluruh Web3, bahkan di proyek yang secara eksplisit dirancang untuk desentralisasi.

1. Mitos desentralisasi melalui multi-sig. Humanity menggunakan Gnosis Safe 3-of-6 untuk kontrol jembatan. Namun, tiga dari enam kunci itu disimpan di satu laptop karyawan. Pelanggaran ini menunjukkan bahwa skema multi-signature hanya seaman distribusi fisik kunci-kuncinya—sebuah kenyataan yang masih diabaikan banyak proyek .

2. Peretasan Korea Utara kini menjadi ancaman yang dapat diprediksi dan berulang. Unit siber Korea Utara, termasuk Grup Lazarus, telah menyempurnakan buku pedoman yang dapat diulang: identifikasi proyek kripto, kompromikan pengembang atau eksekutif melalui rekayasa sosial, curi kunci pribadi, dan kuras dana di seluruh rantai. Humanity Protocol adalah entri terbaru dalam daftar yang panjang dan terus bertambah .

3. Jembatan lintas rantai tetap menjadi titik tersedak yang kritis. Secara desain, jembatan menyimpan kumpulan aset likuid besar yang dikendalikan oleh sejumlah kecil kunci admin. Ini menjadikannya target yang tak tertahankan. Eksploitasi simultan jembatan Ethereum dan BSC dalam serangan ini memperkuat mengapa keamanan jembatan—bukan hanya audit kontrak pintar tetapi juga manajemen kunci dan kontrol akses—harus menjadi prioritas utama bagi proyek lintas rantai mana pun .

4. Reli pasca-eksploitasi bisa menjadi jebakan. Lonjakan 210% token H menarik para pedagang yang mengejar pemulihan cepat, tetapi data leverage menunjukkan perdagangan yang padat dan tidak stabil. Ketika token melambung karena spekulasi, bukan resolusi yang kredibel—terutama dengan satu rantai yang masih terkompromikan secara permanen—risiko kejatuhan kedua bukanlah hal yang teoritis .

5. Tekanan regulasi akan meningkat. Ketika aktor negara seperti Korea Utara terlibat dalam pencurian kripto, regulator akan memberikan perhatian. Harapkan pengawasan yang lebih ketat pada kepatuhan KYC/AML, standar manajemen kunci kustodian, dan audit keamanan wajib—terutama untuk protokol yang mengoperasikan jembatan lintas rantai yang menyimpan dana pengguna .