L'attacco: una email di phishing, un laptop compromesso

Il punto di ingresso è stato ingannevolmente semplice. Il 5 giugno il direttore Chong Yee Wai ha ricevuto un'email che sembrava provenire da Bithumb, in cui si discuteva di un programma di lockup dell'offerta circolante. L'email conteneva un allegato ZIP malevolo .

All'apertura dell'allegato, è stato installato un malware — in particolare un file chiamato hncagent.exe — firmato digitalmente con un certificato sudcoreano legittimo di Hancom. Quantstamp ha notato che questo modello di firma del certificato è un segno distintivo noto delle operazioni informatiche nordcoreane .

Una volta installato, il malware ha concesso agli aggressori l'accesso remoto completo al laptop del direttore. Da quella singola macchina, hanno esfilitrato sette chiavi private: tre delle sei chiavi proprietarie del portafoglio multi-firma Gnosis Safe che governavano il bridge di Ethereum, più chiavi aggiuntive che permettevano aggiornamenti dei contratti .

Come si è svolto l'attacco su due blockchain

Con il controllo delle chiavi di amministrazione del bridge, gli aggressori hanno eseguito attacchi paralleli su Ethereum e BNB Smart Chain in una finestra coordinata:

Su Ethereum:

• Gli aggressori hanno aggiornato il contratto del bridge del token H con una versione malevola sotto il loro controllo .
• Hanno quindi drenato circa 141 milioni di token H dal bridge in un'unica transazione .
• I token rubati sono stati in gran parte scambiati o trasferiti ad altri asset e spostati su wallet esterni, rendendo il recupero estremamente difficile .

Su BNB Smart Chain:

• Gli aggressori hanno preso il controllo del contratto ProxyAdmin .
• Usando questo accesso, hanno coniato ulteriori token H direttamente, creando di fatto nuova offerta dal nulla .
• I token appena coniati e rubati sono stati poi sistematicamente venduti su Uniswap e PancakeSwap per circa otto ore, facendo crollare il prezzo del token .

Fondamentalmente, l'attacco non ha sfruttato un bug in nessuno smart contract. È stata una pura violazione per compromissione delle chiavi, guidata da una campagna di phishing mirata agli umani. Humanity Protocol ha in seguito confermato questo punto esplicitamente, dichiarando che nessuno smart contract è stato sfruttato .

Le conclusioni forensi di Quantstamp e il collegamento con la Corea del Nord

Humanity Protocol ha ingaggiato Quantstamp il 9 giugno, un giorno dopo la violazione. La società di sicurezza ha pubblicato il suo rapporto di indagine preliminare l'11 giugno, e il progetto ha attribuito pubblicamente il furto a hacker legati alla Corea del Nord il 12 giugno, seguito dalla divulgazione completa delle conclusioni di Quantstamp il 14 giugno .

I principali indicatori forensi che hanno portato Quantstamp verso gli attori delle minacce legati alla RPDC (Corea del Nord) includevano:

• Strumenti e comportamento del malware: L'uso di hncagent.exe come caricatore di primo stadio, insieme ai modelli di accesso remoto osservati, corrispondeva a set di intrusioni nordcoreani noti .
• Abuso di certificati digitali: Il malware era firmato con un certificato digitale sudcoreano legittimo di Hancom, una tattica che Quantstamp ha identificato come caratteristica di precedenti operazioni collegate alla RPDC .
• Modus operandi: L'approccio a più fasi, dal phishing all'esfiltrazione di chiavi fino al drenaggio cross-chain, rispecchia il manuale di ingegneria sociale da tempo associato al Lazarus Group e ai suoi affiliati, che hanno rubato oltre 3 miliardi di dollari in criptovalute con metodi simili .

Il rapporto ha anche chiarito il rischio in corso: mentre il contratto del token H su Ethereum è stato bloccato da un portafoglio multi-firma non compromesso, la deploy su BNB Smart Chain rimane permanentemente sotto il controllo dell'aggressore, con capacità di conio continua .

Il crollo del token H e la risalita del 210%

Il crollo

Nell'immediata conseguenza dell'attacco dell'8 giugno, il prezzo del token H è crollato vertiginosamente. Dal massimo storico di 0,844 dollari del 2 giugno, il token è crollato di circa il 74%, toccando minimi tra 0,05 e 0,13 dollari in vendite dettate dal panico .

Le rimonte

Una serie di rally di sollievo hanno seguito:

• 12 giugno: H è balzato di circa il 44% in un solo giorno, tornando a scambiare a circa 0,227 dollari. Il rimbalzo è stato guidato dall'annuncio di mitigazione di Humanity Protocol e dal congelamento del contratto su Ethereum .
• 14 giugno: Un altro rally giornaliero del 42% ha spinto il token a un massimo di 0,6276 dollari, rappresentando un balzo di circa il 210% dai minimi post-attacco .

Perché la risalita era rischiosa

Questa drammatica ripresa non era basata su fondamentali restaurati. I dati di CoinMarketCap hanno mostrato che la risalita del 14 giugno è stata accompagnata da un aumento del 131% dell'Open Interest a 213 milioni di dollari, indicando un massiccio afflusso di posizioni speculative con leva . L'analisi di CoinMarketCap ha esplicitamente segnalato che questo accumulo di leva comportava un elevato rischio di volatilità, avvertendo che qualsiasi improvviso inversione di tendenza avrebbe potuto innescare liquidazioni a catena .

Entro il 15 giugno, il token era già arretrato a circa 0,23-0,30 dollari, confermando la fragilità del rally speculativo .

Implicazioni più ampie per la sicurezza Web3

La violazione di Humanity Protocol non è un incidente isolato: è un esempio da manuale delle vulnerabilità strutturali che persistono nel Web3, anche in progetti esplicitamente progettati attorno alla decentralizzazione.

1. Il mito della decentralizzazione con il multi-firma. Humanity usava un Gnosis Safe 3-of-6 per il controllo del bridge. Eppure, tre di quelle sei chiavi erano memorizzate su un singolo laptop di un dipendente. La violazione dimostra che uno schema multi-firma è sicuro quanto la custodia fisica distribuita delle sue chiavi — una realtà che molti progetti ancora trascurano .

2. L'hacking nordcoreano è ora una minaccia prevedibile e ricorrente. Le unità informatiche della RPDC, incluso il Lazarus Group, hanno affinato un manuale ripetibile: identificare un progetto crypto, compromettere uno sviluppatore o un dirigente tramite ingegneria sociale, rubare chiavi private e drenare fondi attraverso le blockchain. Humanity Protocol è l'ultima voce di una lista lunga e in crescita .

3. I bridge cross-chain rimangono colli di bottiglia critici. Per progettazione, i bridge detengono grandi pool di asset liquidi controllati da un piccolo numero di chiavi amministrative. Questo li rende bersagli irresistibili. Lo sfruttamento simultaneo dei bridge di Ethereum e BSC in questo attacco rafforza perché la sicurezza dei bridge — non solo la verifica degli smart contract, ma la gestione delle chiavi e il controllo degli accessi — dovrebbe essere la priorità assoluta per qualsiasi progetto cross-chain .

4. I rally post-attacco possono essere trappole. La risalita del 210% del token H ha attratto trader in cerca di un rapido recupero, ma i dati sulla leva suggerivano un trade affollato e instabile. Quando un token rimbalza sulla speculazione piuttosto che su una risoluzione credibile — specialmente con una blockchain ancora permanentemente compromessa — il rischio di un secondo crollo non è teorico .

5. La pressione normativa aumenterà. Quando un attore statale come la Corea del Nord è implicato in un furto di criptovalute, i regolatori prendono nota. Aspettatevi un rinnovato scrutinio sulla conformità KYC/AML, sugli standard di gestione delle chiavi di custodia e sulle verifiche di sicurezza obbligatorie — in particolare per i protocolli che gestiscono bridge cross-chain contenenti fondi degli utenti .

L'attacco: una email di phishing, un laptop compromesso

Il punto di ingresso è stato ingannevolmente semplice. Il 5 giugno il direttore Chong Yee Wai ha ricevuto un'email che sembrava provenire da Bithumb, in cui si discuteva di un programma di lockup dell'offerta circolante. L'email conteneva un allegato ZIP malevolo .

All'apertura dell'allegato, è stato installato un malware — in particolare un file chiamato hncagent.exe — firmato digitalmente con un certificato sudcoreano legittimo di Hancom. Quantstamp ha notato che questo modello di firma del certificato è un segno distintivo noto delle operazioni informatiche nordcoreane .

Una volta installato, il malware ha concesso agli aggressori l'accesso remoto completo al laptop del direttore. Da quella singola macchina, hanno esfilitrato sette chiavi private: tre delle sei chiavi proprietarie del portafoglio multi-firma Gnosis Safe che governavano il bridge di Ethereum, più chiavi aggiuntive che permettevano aggiornamenti dei contratti .

Come si è svolto l'attacco su due blockchain

Con il controllo delle chiavi di amministrazione del bridge, gli aggressori hanno eseguito attacchi paralleli su Ethereum e BNB Smart Chain in una finestra coordinata:

Su Ethereum:

• Gli aggressori hanno aggiornato il contratto del bridge del token H con una versione malevola sotto il loro controllo .
• Hanno quindi drenato circa 141 milioni di token H dal bridge in un'unica transazione .
• I token rubati sono stati in gran parte scambiati o trasferiti ad altri asset e spostati su wallet esterni, rendendo il recupero estremamente difficile .

Su BNB Smart Chain:

• Gli aggressori hanno preso il controllo del contratto ProxyAdmin .
• Usando questo accesso, hanno coniato ulteriori token H direttamente, creando di fatto nuova offerta dal nulla .
• I token appena coniati e rubati sono stati poi sistematicamente venduti su Uniswap e PancakeSwap per circa otto ore, facendo crollare il prezzo del token .

Fondamentalmente, l'attacco non ha sfruttato un bug in nessuno smart contract. È stata una pura violazione per compromissione delle chiavi, guidata da una campagna di phishing mirata agli umani. Humanity Protocol ha in seguito confermato questo punto esplicitamente, dichiarando che nessuno smart contract è stato sfruttato .

Le conclusioni forensi di Quantstamp e il collegamento con la Corea del Nord

Humanity Protocol ha ingaggiato Quantstamp il 9 giugno, un giorno dopo la violazione. La società di sicurezza ha pubblicato il suo rapporto di indagine preliminare l'11 giugno, e il progetto ha attribuito pubblicamente il furto a hacker legati alla Corea del Nord il 12 giugno, seguito dalla divulgazione completa delle conclusioni di Quantstamp il 14 giugno .

I principali indicatori forensi che hanno portato Quantstamp verso gli attori delle minacce legati alla RPDC (Corea del Nord) includevano:

• Strumenti e comportamento del malware: L'uso di hncagent.exe come caricatore di primo stadio, insieme ai modelli di accesso remoto osservati, corrispondeva a set di intrusioni nordcoreani noti .
• Abuso di certificati digitali: Il malware era firmato con un certificato digitale sudcoreano legittimo di Hancom, una tattica che Quantstamp ha identificato come caratteristica di precedenti operazioni collegate alla RPDC .
• Modus operandi: L'approccio a più fasi, dal phishing all'esfiltrazione di chiavi fino al drenaggio cross-chain, rispecchia il manuale di ingegneria sociale da tempo associato al Lazarus Group e ai suoi affiliati, che hanno rubato oltre 3 miliardi di dollari in criptovalute con metodi simili .

Il rapporto ha anche chiarito il rischio in corso: mentre il contratto del token H su Ethereum è stato bloccato da un portafoglio multi-firma non compromesso, la deploy su BNB Smart Chain rimane permanentemente sotto il controllo dell'aggressore, con capacità di conio continua .

Il crollo del token H e la risalita del 210%

Il crollo

Nell'immediata conseguenza dell'attacco dell'8 giugno, il prezzo del token H è crollato vertiginosamente. Dal massimo storico di 0,844 dollari del 2 giugno, il token è crollato di circa il 74%, toccando minimi tra 0,05 e 0,13 dollari in vendite dettate dal panico .

Le rimonte

Una serie di rally di sollievo hanno seguito:

• 12 giugno: H è balzato di circa il 44% in un solo giorno, tornando a scambiare a circa 0,227 dollari. Il rimbalzo è stato guidato dall'annuncio di mitigazione di Humanity Protocol e dal congelamento del contratto su Ethereum .
• 14 giugno: Un altro rally giornaliero del 42% ha spinto il token a un massimo di 0,6276 dollari, rappresentando un balzo di circa il 210% dai minimi post-attacco .

Perché la risalita era rischiosa

Questa drammatica ripresa non era basata su fondamentali restaurati. I dati di CoinMarketCap hanno mostrato che la risalita del 14 giugno è stata accompagnata da un aumento del 131% dell'Open Interest a 213 milioni di dollari, indicando un massiccio afflusso di posizioni speculative con leva . L'analisi di CoinMarketCap ha esplicitamente segnalato che questo accumulo di leva comportava un elevato rischio di volatilità, avvertendo che qualsiasi improvviso inversione di tendenza avrebbe potuto innescare liquidazioni a catena .

Entro il 15 giugno, il token era già arretrato a circa 0,23-0,30 dollari, confermando la fragilità del rally speculativo .

Implicazioni più ampie per la sicurezza Web3

La violazione di Humanity Protocol non è un incidente isolato: è un esempio da manuale delle vulnerabilità strutturali che persistono nel Web3, anche in progetti esplicitamente progettati attorno alla decentralizzazione.

1. Il mito della decentralizzazione con il multi-firma. Humanity usava un Gnosis Safe 3-of-6 per il controllo del bridge. Eppure, tre di quelle sei chiavi erano memorizzate su un singolo laptop di un dipendente. La violazione dimostra che uno schema multi-firma è sicuro quanto la custodia fisica distribuita delle sue chiavi — una realtà che molti progetti ancora trascurano .

2. L'hacking nordcoreano è ora una minaccia prevedibile e ricorrente. Le unità informatiche della RPDC, incluso il Lazarus Group, hanno affinato un manuale ripetibile: identificare un progetto crypto, compromettere uno sviluppatore o un dirigente tramite ingegneria sociale, rubare chiavi private e drenare fondi attraverso le blockchain. Humanity Protocol è l'ultima voce di una lista lunga e in crescita .

3. I bridge cross-chain rimangono colli di bottiglia critici. Per progettazione, i bridge detengono grandi pool di asset liquidi controllati da un piccolo numero di chiavi amministrative. Questo li rende bersagli irresistibili. Lo sfruttamento simultaneo dei bridge di Ethereum e BSC in questo attacco rafforza perché la sicurezza dei bridge — non solo la verifica degli smart contract, ma la gestione delle chiavi e il controllo degli accessi — dovrebbe essere la priorità assoluta per qualsiasi progetto cross-chain .

4. I rally post-attacco possono essere trappole. La risalita del 210% del token H ha attratto trader in cerca di un rapido recupero, ma i dati sulla leva suggerivano un trade affollato e instabile. Quando un token rimbalza sulla speculazione piuttosto che su una risoluzione credibile — specialmente con una blockchain ancora permanentemente compromessa — il rischio di un secondo crollo non è teorico .

5. La pressione normativa aumenterà. Quando un attore statale come la Corea del Nord è implicato in un furto di criptovalute, i regolatori prendono nota. Aspettatevi un rinnovato scrutinio sulla conformità KYC/AML, sugli standard di gestione delle chiavi di custodia e sulle verifiche di sicurezza obbligatorie — in particolare per i protocolli che gestiscono bridge cross-chain contenenti fondi degli utenti .