Vedlegget installerte skadevare, blant annet filen hncagent.exe, på direktørens bærbare PC. Quantstamp opplyste at filen var digitalt signert med et legitimt sørkoreansk sertifikat fra Hancom – et kjennetegn sikkerhetsselskapet har sett i tidligere operasjoner knyttet til nordkoreanske aktører .

Skadevaren ga angriperne full fjernadgang til maskinen. Derfra hentet de ut sju private nøkler: tre av de seks eiernøklene i en Gnosis Safe-lommebok med multisignatur, som kontrollerte Ethereum-broen, samt flere nøkler som kunne brukes til å oppgradere kontrakter .

Slik ble to blokkjeder rammet samtidig

Med kontroll over administrasjonsnøklene kunne angriperne gjennomføre et koordinert angrep på begge nettverkene.

På Ethereum:

• H-tokenets brokontrakt ble oppgradert til en ondsinnet versjon under angripernes kontroll .
• Rundt 141 millioner H-tokens ble deretter tømt fra broen i én transaksjon .
• Store deler av de stjålne tokenene ble byttet eller flyttet til andre nettverk og eksterne lommebøker, noe som gjør tilbakeføring vanskelig .

På BNB Smart Chain:

• Angriperne tok kontroll over ProxyAdmin-kontrakten .
• Tilgangen gjorde det mulig å prege nye H-tokens direkte – i praksis å skape ny forsyning uten tilsvarende sikkerhet i systemet .
• De nye og stjålne tokenene ble deretter solgt systematisk på Uniswap og PancakeSwap i omtrent åtte timer, noe som bidro til prisfallet .

Det sentrale poenget er at angrepet ikke skyldtes en feil i selve smartkontraktene. Det var et kompromitteringsangrep mot private nøkler, utløst av målrettet phishing. Humanity Protocol har senere presisert at ingen smartkontrakter ble utnyttet direkte .

Quantstamp peker mot nordkoreansk-tilknyttede aktører

Humanity Protocol hentet inn blokkjede-sikkerhetsselskapet Quantstamp 9. juni, dagen etter angrepet. Quantstamp publiserte en foreløpig rapport 11. juni, og prosjektet knyttet tyveriet offentlig til hackere med forbindelser til Nord-Korea 12. juni. En bredere offentliggjøring av funnene fulgte 14. juni .

Blant sporene Quantstamp trakk frem, var:

• Skadevare og angrepsmønster: Bruken av hncagent.exe som første ledd, sammen med observerte fjernstyringsmønstre, samsvarte med kjente angrepssett knyttet til Nord-Korea .
• Misbruk av digitale sertifikater: Skadevaren var signert med et legitimt Hancom-sertifikat fra Sør-Korea. Quantstamp beskrev denne fremgangsmåten som typisk for flere tidligere operasjoner knyttet til nordkoreanske aktører .
• Operasjonell fremgangsmåte: Kjeden fra sosial manipulering til skadevare, nøkkeltyveri og et koordinert angrep på flere blokkjeder ligner metoder som ofte forbindes med Lazarus-gruppen og tilknyttede aktører .

Attributionen er basert på tekniske indikatorer og metode, ikke på at angriperne identifiserte seg. En av Quantstamps kilder beskriver derfor koblingen som tegn på aktivitet fra nordkoreansk-tilknyttede trusselaktører, snarere enn et direkte bevis på hvem som sto bak .

Ethereum er fryst – BNB-versjonen er fortsatt et problem

Humanity Protocol opplyste at H-tokenkontrakten på Ethereum ble fryst av en multisignatur-lommebok som ikke var kompromittert. Samtidig forble BNB Smart Chain-distribusjonen under angripernes kontroll, med mulighet til å prege flere tokens .

Det betyr at hendelsen ikke bare handler om hva som allerede er stjålet. Så lenge en kompromittert distribusjon fortsatt kan utstede nye tokens, består risikoen for ytterligere utvanning og salgspress.

H-tokenet: først fritt fall, så en eksplosiv rekyl

Fallet

Før angrepet hadde H-tokenet nådd en topp på 0,844 dollar 2. juni. Etter hendelsen falt kursen rundt 74 prosent og var på det laveste nede i området 0,05–0,13 dollar .

Rekylen

Deretter kom flere kraftige oppgangsdager:

• 12. juni: H steg rundt 44 prosent på ett døgn til omtrent 0,227 dollar. Oppgangen kom etter kunngjøringer om skadebegrensning og at Ethereum-kontrakten var fryst .
• 14. juni: En ny oppgang på rundt 42 prosent sendte tokenet til en intradagstopp på 0,6276 dollar. Det tilsvarte en oppgang på omtrent 210 prosent fra bunnen etter angrepet .

Hvorfor oppgangen var risikabel

Rekylen betydde ikke at de underliggende problemene var løst. CoinMarketCap-data viste at åpen interesse – verdien av utestående derivatposisjoner – steg 131 prosent til 213 millioner dollar 14. juni. Det tydet på en stor tilstrømning av spekulative, belånte posisjoner .

CoinMarketCap advarte om at denne oppbyggingen kunne gi høy volatilitet. En brå vending kunne utløse tvangslukkinger og forsterke fallet. Allerede 15. juni hadde H falt tilbake til rundt 0,23–0,30 dollar, noe som understreket hvor skjørt rallyet var .

Hva saken sier om Web3-sikkerhet

Multisignatur er ikke det samme som desentralisering

Humanity Protocol brukte en 3-av-6 Gnosis Safe-løsning for brokontroll. Likevel var tre av de seks nødvendige nøklene lagret på én ansatts datamaskin. En multisignatur-lommebok gir derfor ikke reell risikospredning dersom flere nøkkelbiter kan kompromitteres fra samme fysiske enhet .

Mennesker er fortsatt et hovedmål

Angrepet viser at selv avansert blokkjedeinfrastruktur kan settes ut av spill gjennom én troverdig melding og én kompromittert datamaskin. Sikkerheten avhenger ikke bare av kode, men også av hvordan utviklere og ledere håndterer e-post, enheter og private nøkler.

Broer er attraktive mål

Krysskjede-broer holder ofte store, likvide aktivapooler og styres av et begrenset antall administrasjonsnøkler. Derfor er de spesielt attraktive for angripere. Hendelsen viser at revisjon av smartkontrakter må kombineres med sterk nøkkelforvaltning, tilgangskontroll og fysisk separasjon av nøkler .

En rask prisoppgang kan skjule ny risiko

H-tokenets oppgang på rundt 210 prosent kan se ut som en imponerende gjenreisning. Men når kursen løftes av spekulasjon, samtidig som én blokkjede fortsatt er kompromittert, kan en slik rekyl også bli en felle. Den kraftige økningen i åpen interesse gjorde handelen mer sårbar for en ny brå nedtur .

Saken kan også føre til økt oppmerksomhet rundt kundekontroll, tiltak mot hvitvasking, oppbevaring av nøkler og sikkerhetsrevisjoner for prosjekter som driver broer på tvers av blokkjeder .

Vedlegget installerte skadevare, blant annet filen hncagent.exe, på direktørens bærbare PC. Quantstamp opplyste at filen var digitalt signert med et legitimt sørkoreansk sertifikat fra Hancom – et kjennetegn sikkerhetsselskapet har sett i tidligere operasjoner knyttet til nordkoreanske aktører .

Skadevaren ga angriperne full fjernadgang til maskinen. Derfra hentet de ut sju private nøkler: tre av de seks eiernøklene i en Gnosis Safe-lommebok med multisignatur, som kontrollerte Ethereum-broen, samt flere nøkler som kunne brukes til å oppgradere kontrakter .

Slik ble to blokkjeder rammet samtidig

Med kontroll over administrasjonsnøklene kunne angriperne gjennomføre et koordinert angrep på begge nettverkene.

På Ethereum:

• H-tokenets brokontrakt ble oppgradert til en ondsinnet versjon under angripernes kontroll .
• Rundt 141 millioner H-tokens ble deretter tømt fra broen i én transaksjon .
• Store deler av de stjålne tokenene ble byttet eller flyttet til andre nettverk og eksterne lommebøker, noe som gjør tilbakeføring vanskelig .

På BNB Smart Chain:

• Angriperne tok kontroll over ProxyAdmin-kontrakten .
• Tilgangen gjorde det mulig å prege nye H-tokens direkte – i praksis å skape ny forsyning uten tilsvarende sikkerhet i systemet .
• De nye og stjålne tokenene ble deretter solgt systematisk på Uniswap og PancakeSwap i omtrent åtte timer, noe som bidro til prisfallet .

Det sentrale poenget er at angrepet ikke skyldtes en feil i selve smartkontraktene. Det var et kompromitteringsangrep mot private nøkler, utløst av målrettet phishing. Humanity Protocol har senere presisert at ingen smartkontrakter ble utnyttet direkte .

Quantstamp peker mot nordkoreansk-tilknyttede aktører

Humanity Protocol hentet inn blokkjede-sikkerhetsselskapet Quantstamp 9. juni, dagen etter angrepet. Quantstamp publiserte en foreløpig rapport 11. juni, og prosjektet knyttet tyveriet offentlig til hackere med forbindelser til Nord-Korea 12. juni. En bredere offentliggjøring av funnene fulgte 14. juni .

Blant sporene Quantstamp trakk frem, var:

• Skadevare og angrepsmønster: Bruken av hncagent.exe som første ledd, sammen med observerte fjernstyringsmønstre, samsvarte med kjente angrepssett knyttet til Nord-Korea .
• Misbruk av digitale sertifikater: Skadevaren var signert med et legitimt Hancom-sertifikat fra Sør-Korea. Quantstamp beskrev denne fremgangsmåten som typisk for flere tidligere operasjoner knyttet til nordkoreanske aktører .
• Operasjonell fremgangsmåte: Kjeden fra sosial manipulering til skadevare, nøkkeltyveri og et koordinert angrep på flere blokkjeder ligner metoder som ofte forbindes med Lazarus-gruppen og tilknyttede aktører .

Attributionen er basert på tekniske indikatorer og metode, ikke på at angriperne identifiserte seg. En av Quantstamps kilder beskriver derfor koblingen som tegn på aktivitet fra nordkoreansk-tilknyttede trusselaktører, snarere enn et direkte bevis på hvem som sto bak .

Ethereum er fryst – BNB-versjonen er fortsatt et problem

Humanity Protocol opplyste at H-tokenkontrakten på Ethereum ble fryst av en multisignatur-lommebok som ikke var kompromittert. Samtidig forble BNB Smart Chain-distribusjonen under angripernes kontroll, med mulighet til å prege flere tokens .

Det betyr at hendelsen ikke bare handler om hva som allerede er stjålet. Så lenge en kompromittert distribusjon fortsatt kan utstede nye tokens, består risikoen for ytterligere utvanning og salgspress.

H-tokenet: først fritt fall, så en eksplosiv rekyl

Fallet

Før angrepet hadde H-tokenet nådd en topp på 0,844 dollar 2. juni. Etter hendelsen falt kursen rundt 74 prosent og var på det laveste nede i området 0,05–0,13 dollar .

Rekylen

Deretter kom flere kraftige oppgangsdager:

• 12. juni: H steg rundt 44 prosent på ett døgn til omtrent 0,227 dollar. Oppgangen kom etter kunngjøringer om skadebegrensning og at Ethereum-kontrakten var fryst .
• 14. juni: En ny oppgang på rundt 42 prosent sendte tokenet til en intradagstopp på 0,6276 dollar. Det tilsvarte en oppgang på omtrent 210 prosent fra bunnen etter angrepet .

Hvorfor oppgangen var risikabel

Rekylen betydde ikke at de underliggende problemene var løst. CoinMarketCap-data viste at åpen interesse – verdien av utestående derivatposisjoner – steg 131 prosent til 213 millioner dollar 14. juni. Det tydet på en stor tilstrømning av spekulative, belånte posisjoner .

CoinMarketCap advarte om at denne oppbyggingen kunne gi høy volatilitet. En brå vending kunne utløse tvangslukkinger og forsterke fallet. Allerede 15. juni hadde H falt tilbake til rundt 0,23–0,30 dollar, noe som understreket hvor skjørt rallyet var .

Hva saken sier om Web3-sikkerhet

Multisignatur er ikke det samme som desentralisering

Humanity Protocol brukte en 3-av-6 Gnosis Safe-løsning for brokontroll. Likevel var tre av de seks nødvendige nøklene lagret på én ansatts datamaskin. En multisignatur-lommebok gir derfor ikke reell risikospredning dersom flere nøkkelbiter kan kompromitteres fra samme fysiske enhet .

Mennesker er fortsatt et hovedmål

Angrepet viser at selv avansert blokkjedeinfrastruktur kan settes ut av spill gjennom én troverdig melding og én kompromittert datamaskin. Sikkerheten avhenger ikke bare av kode, men også av hvordan utviklere og ledere håndterer e-post, enheter og private nøkler.

Broer er attraktive mål

Krysskjede-broer holder ofte store, likvide aktivapooler og styres av et begrenset antall administrasjonsnøkler. Derfor er de spesielt attraktive for angripere. Hendelsen viser at revisjon av smartkontrakter må kombineres med sterk nøkkelforvaltning, tilgangskontroll og fysisk separasjon av nøkler .

En rask prisoppgang kan skjule ny risiko

H-tokenets oppgang på rundt 210 prosent kan se ut som en imponerende gjenreisning. Men når kursen løftes av spekulasjon, samtidig som én blokkjede fortsatt er kompromittert, kan en slik rekyl også bli en felle. Den kraftige økningen i åpen interesse gjorde handelen mer sårbar for en ny brå nedtur .

Saken kan også føre til økt oppmerksomhet rundt kundekontroll, tiltak mot hvitvasking, oppbevaring av nøkler og sikkerhetsrevisjoner for prosjekter som driver broer på tvers av blokkjeder .