De aanval: één phishingmail, één gecompromitteerde laptop

Het toegangspunt was bedrieglijk alledaags. Op 5 juni ontving directeur Chong Yee Wai een e-mail die afkomstig leek van Bithumb, met een bijlage die een zogenaamd schema voor het vrijgeven van tokens bevatte. De bijlage was een kwaadaardig ZIP-bestand .

Toen het bestand werd geopend, installeerde het malware – een bestand genaamd hncagent.exe – dat digitaal was ondertekend met een legitiem Zuid-Koreaans certificaat van Hancom. Quantstamp merkte op dat dit patroon van certificaatondertekening een bekend kenmerk is van Noord-Koreaanse cyberoperaties .

Eenmaal geïnstalleerd, gaf de malware de aanvallers volledige toegang op afstand tot de laptop van de directeur. Vanaf die ene machine wisten ze zeven private keys te stelen: drie van de zes Gnosis Safe multi-handtekening eigenaarsleutels die de Ethereum-brug beheerden, plus extra sleutels waarmee contracten konden worden geüpgraded .

Hoe de aanval over twee blockchains uitrolde

Met de beheersleutels van de brug in handen voerden de aanvallers in een gecoördineerd tijdsvenster parallelle aanvallen uit op Ethereum en BNB Smart Chain:

Op Ethereum:

• De aanvallers upgradeden het H-token brugcontract naar een kwaadaardige versie die ze zelf beheerden .
• Vervolgens hevelden ze circa 141 miljoen H-tokens uit de brug over in één enkele transactie .
• De gestolen tokens werden grotendeels omgezet of overgezet naar andere activa en naar externe wallets verplaatst, wat terugvordering buitengewoon moeilijk maakt .

Op BNB Smart Chain:

• De aanvallers namen het ProxyAdmin-contract over .
• Via deze toegang sloegen ze extra H-tokens aan, waardoor er effectief nieuwe tokens uit het niets werden gecreëerd .
• De vers aangemaakte en gestolen tokens werden vervolgens gedurende circa acht uur systematisch verkocht op Uniswap en PancakeSwap, wat de koers deed kelderen .

Cruciaal is dat de aanval geen gebruik maakte van een fout in een slim contract. Het was een pure sleuteldiefstal, aangestuurd door een op mensen gerichte phishingcampagne. Humanity Protocol bevestigde dit later nadrukkelijk: er werden geen slimme contracten uitgebuit .

Quantstamps forensische bevindingen en de link met Noord-Korea

Humanity Protocol huurde Quantstamp op 9 juni in, een dag na de aanval. Het beveiligingsbedrijf publiceerde op 11 juni haar voorlopige onderzoeksrapport en het project wees op 12 juni officieel naar aan Noord-Korea gelinkte hackers, gevolgd door de volledige openbaarmaking van Quantstamps bevindingen op 14 juni .

Belangrijke forensische aanwijzingen die Quantstamp richting Noord-Koreaanse dreigingsactoren wezen:

• Malware-gereedschap en -gedrag: Het gebruik van hncagent.exe als eerste-stap-lader, samen met de waargenomen toegangspatronen op afstand, kwam overeen met bekende Noord-Koreaanse indringerset .
• Misbruik van digitale certificaten: De malware was ondertekend met een legitiem Zuid-Koreaans digitaal certificaat van Hancom, een tactiek die Quantstamp als kenmerkend identificeerde voor eerdere aan Noord-Korea gelinkte operaties .
• Operationele werkwijze: De aanpak – phishing naar sleutel-exfiltratie naar cross-chain leegroven – weerspiegelt het op sociale engineering gebaseerde draaiboek dat al lang wordt geassocieerd met de Lazarus Group en aanverwante groepen, die via vergelijkbare methoden al meer dan $3 miljard aan cryptovaluta hebben gestolen .

Het rapport verduidelijkte ook het aanhoudende risico: terwijl het H-tokencontract op Ethereum werd bevroren door een niet-gecompromitteerde multi-handtekeningwallet, blijft de implementatie op BNB Smart Chain permanent onder controle van de aanvallers met een blijvende mogelijkheid om nieuwe tokens aan te maken .

De crash van de H-token en de opleving van 210%

De crash

Direct na de aanval van 8 juni stortte de koers van de H-token in. Van een all-time high van $0,844 op 2 juni kelderde de token met circa 74%, tot dieptepunten tussen $0,05 en $0,13 in paniekverkopen .

De herstelrally's

Er volgden een aantal opluchting-rally's:

• 12 juni: H steeg met circa 44% in één dag en handelde weer rond $0,227. Deze stijging werd gedreven door de aankondiging van mitigerende maatregelen door Humanity Protocol en het bevriezen van het Ethereum-contract .
• 14 juni: Een nieuwe 42% rally op één dag stuwde de token naar een piek van $0,6276, een stijging van circa 210% ten opzichte van de dieptepunten na de aanval .

Waarom de opleving riskant was

Dit dramatische herstel was niet gebaseerd op hersteld vertrouwen of fundamentele verbeteringen. Gegevens van CoinMarketCap lieten zien dat de stijging van 14 juni gepaard ging met een 131% toename van de Open Interest tot $213 miljoen, wat wijst op een massale instroom van speculatieve posities met hefboom . CoinMarketCap waarschuwde expliciet dat deze hefboomopbouw een verhoogd volatiliteitsrisico met zich meebracht en dat een plotselinge ommekeer tot een cascade van liquidaties kon leiden .

Op 15 juni was de token alweer teruggevallen tot circa $0,23-$0,30, wat de fragiliteit van de speculatieve rally bevestigde .

Brede lessen voor Web3-beveiliging

De inbraak bij Humanity Protocol is geen op zichzelf staand incident – het is een schoolvoorbeeld van de structurele kwetsbaarheden die in Web3 blijven bestaan, zelfs in projecten die expliciet rond decentralisatie zijn ontworpen.

1. De mythe van decentralisatie via multi-sig. Humanity gebruikte een 3-of-6 Gnosis Safe voor brugcontrole. Toch lagen drie van die zes sleutels op één enkele laptop van een medewerker. De aanval toont aan dat een multi-handtekeningschema slechts zo veilig is als de fysieke spreiding van de bijbehorende sleutels – een werkelijkheid die veel projecten nog steeds negeren .

2. Noord-Koreaanse hacking is een voorspelbare, terugkerende dreiging. De cyber-eenheden van Noord-Korea, waaronder de Lazarus Group, hebben een herhaalbaar draaiboek verfijnd: identificeer een cryptoproject, compromitteer een ontwikkelaar of leidinggevende via sociale manipulatie, steel private keys en tap middelen af over verschillende blockchains. Humanity Protocol is de nieuwste in een lange en groeiende lijst .

3. Cross-chain bruggen blijven kritieke knelpunten. Bruggen bevatten per definitie grote, liquide activapools die door een klein aantal beheersleutels worden gecontroleerd. Dat maakt ze onweerstaanbare doelwitten. De gelijktijdige exploitatie van zowel de Ethereum- als de BSC-brug in deze aanval onderstreept waarom brugbeveiliging – niet alleen het auditen van slimme contracten, maar ook sleutelbeheer en toegangscontrole – de hoogste prioriteit moet zijn voor elk cross-chain project .

4. Rally's na een aanval kunnen valkuilen zijn. De 210%-stijging van de H-token trok handelaren aan die een snel herbel zochten, maar de hefboomgegevens wezen op een overvolle, instabiele handel. Als een token herstelt op basis van speculatie in plaats van een geloofwaardige oplossing – zeker als één keten permanent gecompromitteerd blijft – is het risico op een tweede crash niet theoretisch .

5. De regeldruk zal toenemen. Wanneer een staatspartij als Noord-Korea wordt genoemd bij cryptodiefstal, reageren toezichthouders. Verwacht herende aandacht voor KYC/AML-naleving, normen voor bewaard sleutelbeheer en verplichte beveiligingsaudits – vooral voor protocollen die cross-chain bruggen beheren waarin gebruikersgelden vastzitten .

De aanval: één phishingmail, één gecompromitteerde laptop

Het toegangspunt was bedrieglijk alledaags. Op 5 juni ontving directeur Chong Yee Wai een e-mail die afkomstig leek van Bithumb, met een bijlage die een zogenaamd schema voor het vrijgeven van tokens bevatte. De bijlage was een kwaadaardig ZIP-bestand .

Toen het bestand werd geopend, installeerde het malware – een bestand genaamd hncagent.exe – dat digitaal was ondertekend met een legitiem Zuid-Koreaans certificaat van Hancom. Quantstamp merkte op dat dit patroon van certificaatondertekening een bekend kenmerk is van Noord-Koreaanse cyberoperaties .

Eenmaal geïnstalleerd, gaf de malware de aanvallers volledige toegang op afstand tot de laptop van de directeur. Vanaf die ene machine wisten ze zeven private keys te stelen: drie van de zes Gnosis Safe multi-handtekening eigenaarsleutels die de Ethereum-brug beheerden, plus extra sleutels waarmee contracten konden worden geüpgraded .

Hoe de aanval over twee blockchains uitrolde

Met de beheersleutels van de brug in handen voerden de aanvallers in een gecoördineerd tijdsvenster parallelle aanvallen uit op Ethereum en BNB Smart Chain:

Op Ethereum:

• De aanvallers upgradeden het H-token brugcontract naar een kwaadaardige versie die ze zelf beheerden .
• Vervolgens hevelden ze circa 141 miljoen H-tokens uit de brug over in één enkele transactie .
• De gestolen tokens werden grotendeels omgezet of overgezet naar andere activa en naar externe wallets verplaatst, wat terugvordering buitengewoon moeilijk maakt .

Op BNB Smart Chain:

• De aanvallers namen het ProxyAdmin-contract over .
• Via deze toegang sloegen ze extra H-tokens aan, waardoor er effectief nieuwe tokens uit het niets werden gecreëerd .
• De vers aangemaakte en gestolen tokens werden vervolgens gedurende circa acht uur systematisch verkocht op Uniswap en PancakeSwap, wat de koers deed kelderen .

Cruciaal is dat de aanval geen gebruik maakte van een fout in een slim contract. Het was een pure sleuteldiefstal, aangestuurd door een op mensen gerichte phishingcampagne. Humanity Protocol bevestigde dit later nadrukkelijk: er werden geen slimme contracten uitgebuit .

Quantstamps forensische bevindingen en de link met Noord-Korea

Humanity Protocol huurde Quantstamp op 9 juni in, een dag na de aanval. Het beveiligingsbedrijf publiceerde op 11 juni haar voorlopige onderzoeksrapport en het project wees op 12 juni officieel naar aan Noord-Korea gelinkte hackers, gevolgd door de volledige openbaarmaking van Quantstamps bevindingen op 14 juni .

Belangrijke forensische aanwijzingen die Quantstamp richting Noord-Koreaanse dreigingsactoren wezen:

• Malware-gereedschap en -gedrag: Het gebruik van hncagent.exe als eerste-stap-lader, samen met de waargenomen toegangspatronen op afstand, kwam overeen met bekende Noord-Koreaanse indringerset .
• Misbruik van digitale certificaten: De malware was ondertekend met een legitiem Zuid-Koreaans digitaal certificaat van Hancom, een tactiek die Quantstamp als kenmerkend identificeerde voor eerdere aan Noord-Korea gelinkte operaties .
• Operationele werkwijze: De aanpak – phishing naar sleutel-exfiltratie naar cross-chain leegroven – weerspiegelt het op sociale engineering gebaseerde draaiboek dat al lang wordt geassocieerd met de Lazarus Group en aanverwante groepen, die via vergelijkbare methoden al meer dan $3 miljard aan cryptovaluta hebben gestolen .

Het rapport verduidelijkte ook het aanhoudende risico: terwijl het H-tokencontract op Ethereum werd bevroren door een niet-gecompromitteerde multi-handtekeningwallet, blijft de implementatie op BNB Smart Chain permanent onder controle van de aanvallers met een blijvende mogelijkheid om nieuwe tokens aan te maken .

De crash van de H-token en de opleving van 210%

De crash

Direct na de aanval van 8 juni stortte de koers van de H-token in. Van een all-time high van $0,844 op 2 juni kelderde de token met circa 74%, tot dieptepunten tussen $0,05 en $0,13 in paniekverkopen .

De herstelrally's

Er volgden een aantal opluchting-rally's:

• 12 juni: H steeg met circa 44% in één dag en handelde weer rond $0,227. Deze stijging werd gedreven door de aankondiging van mitigerende maatregelen door Humanity Protocol en het bevriezen van het Ethereum-contract .
• 14 juni: Een nieuwe 42% rally op één dag stuwde de token naar een piek van $0,6276, een stijging van circa 210% ten opzichte van de dieptepunten na de aanval .

Waarom de opleving riskant was

Dit dramatische herstel was niet gebaseerd op hersteld vertrouwen of fundamentele verbeteringen. Gegevens van CoinMarketCap lieten zien dat de stijging van 14 juni gepaard ging met een 131% toename van de Open Interest tot $213 miljoen, wat wijst op een massale instroom van speculatieve posities met hefboom . CoinMarketCap waarschuwde expliciet dat deze hefboomopbouw een verhoogd volatiliteitsrisico met zich meebracht en dat een plotselinge ommekeer tot een cascade van liquidaties kon leiden .

Op 15 juni was de token alweer teruggevallen tot circa $0,23-$0,30, wat de fragiliteit van de speculatieve rally bevestigde .

Brede lessen voor Web3-beveiliging

De inbraak bij Humanity Protocol is geen op zichzelf staand incident – het is een schoolvoorbeeld van de structurele kwetsbaarheden die in Web3 blijven bestaan, zelfs in projecten die expliciet rond decentralisatie zijn ontworpen.

1. De mythe van decentralisatie via multi-sig. Humanity gebruikte een 3-of-6 Gnosis Safe voor brugcontrole. Toch lagen drie van die zes sleutels op één enkele laptop van een medewerker. De aanval toont aan dat een multi-handtekeningschema slechts zo veilig is als de fysieke spreiding van de bijbehorende sleutels – een werkelijkheid die veel projecten nog steeds negeren .

2. Noord-Koreaanse hacking is een voorspelbare, terugkerende dreiging. De cyber-eenheden van Noord-Korea, waaronder de Lazarus Group, hebben een herhaalbaar draaiboek verfijnd: identificeer een cryptoproject, compromitteer een ontwikkelaar of leidinggevende via sociale manipulatie, steel private keys en tap middelen af over verschillende blockchains. Humanity Protocol is de nieuwste in een lange en groeiende lijst .

3. Cross-chain bruggen blijven kritieke knelpunten. Bruggen bevatten per definitie grote, liquide activapools die door een klein aantal beheersleutels worden gecontroleerd. Dat maakt ze onweerstaanbare doelwitten. De gelijktijdige exploitatie van zowel de Ethereum- als de BSC-brug in deze aanval onderstreept waarom brugbeveiliging – niet alleen het auditen van slimme contracten, maar ook sleutelbeheer en toegangscontrole – de hoogste prioriteit moet zijn voor elk cross-chain project .

4. Rally's na een aanval kunnen valkuilen zijn. De 210%-stijging van de H-token trok handelaren aan die een snel herbel zochten, maar de hefboomgegevens wezen op een overvolle, instabiele handel. Als een token herstelt op basis van speculatie in plaats van een geloofwaardige oplossing – zeker als één keten permanent gecompromitteerd blijft – is het risico op een tweede crash niet theoretisch .

5. De regeldruk zal toenemen. Wanneer een staatspartij als Noord-Korea wordt genoemd bij cryptodiefstal, reageren toezichthouders. Verwacht herende aandacht voor KYC/AML-naleving, normen voor bewaard sleutelbeheer en verplichte beveiligingsaudits – vooral voor protocollen die cross-chain bruggen beheren waarin gebruikersgelden vastzitten .