Atak: jeden e-mail phishingowy, jeden zainfekowany laptop

Punktem wejścia była zaskakująco banalna sytuacja. 5 czerwca dyrektor Chong Yee Wai otrzymał e-mail, który wyglądał jak wiadomość od Bithumb, dotyczącą harmonogramu blokady podaży w obiegu. Załącznik zawierał złośliwe oprogramowanie w pliku ZIP .

Po otwarciu załącznika zainstalowało się złośliwe oprogramowanie – konkretnie plik o nazwie hncagent.exe – podpisany cyfrowo przy użyciu legalnego południowokoreańskiego certyfikatu od firmy Hancom. Quantstamp zauważył, że ten wzorzec podpisywania certyfikatu jest znanym znakiem rozpoznawczym północnokoreańskich operacji cybernetycznych .

Po zainstalowaniu, złośliwe oprogramowanie dało atakującym pełny zdalny dostęp do laptopa dyrektora. Z tego jednego komputera wyciekło siedem kluczy prywatnych: trzy z sześciu kluczy właścicielskich multi-portfela Gnosis Safe, które zarządzały mostem Ethereum, oraz dodatkowe klucze umożliwiające aktualizację kontraktów .

Przebieg włamania na dwóch łańcuchach

Po przejęciu kluczy administracyjnych mostu, atakujący przeprowadzili równoległe ataki na Ethereum i BNB Smart Chain w skoordynowanym oknie czasowym:

Na Ethereum:

• Atakujący zaktualizowali kontrakt mostu tokena H do złośliwej wersji, którą kontrolowali .
• Następnie wyprowadzili około 141 mln tokenów H z mostu w jednej transakcji .
• Skradzione tokeny zostały w większości wymienione lub przeniesione na inne aktywa i przesłane do zewnętrznych portfeli, co niezwykle utrudnia odzyskanie środków .

Na BNB Smart Chain:

• Atakujący przejęli kontrolę nad kontraktem ProxyAdmin .
• Wykorzystując ten dostęp, wybili dodatkowe tokeny H bezpośrednio, skutecznie tworząc nową podaż z niczego .
• Nowo wybite i skradzione tokeny były następnie systematycznie sprzedawane na Uniswap i PancakeSwap przez około osiem godzin, powodując krach ceny tokena .

Co kluczowe, atak nie wykorzystał żadnego błędu w inteligentnym kontrakcie. Było to czyste naruszenie polegające na przejęciu kluczy, spowodowane kampanią phishingową wymierzoną w człowieka. Humanity Protocol później wyraźnie to potwierdził, stwierdzając, że żadne inteligentne kontrakty nie zostały wykorzystane .

Ustalenia Quantstamp i powiązanie z Koreą Północną

Humanity Protocol wynajął Quantstamp 9 czerwca, dzień po włamaniu. Firma bezpieczeństwa opublikowała wstępny raport z dochodzenia 11 czerwca, a projekt publicznie przypisał kradzież hakerom powiązanym z Koreą Północną 12 czerwca, a pełne ustalenia Quantstamp opublikował 14 czerwca .

Kluczowe wskaźniki kryminalistyczne, które skierowały Quantstamp w stronę podmiotów powiązanych z KRL-D, obejmowały:

• Narzędzia i zachowanie złośliwego oprogramowania: Użycie hncagent.exe jako ładowarki pierwszego etapu, wraz z wzorcami zdalnego dostępu, pasowało do znanych zestawów włamań północnokoreańskich .
• Nadużycie certyfikatu cyfrowego: Złośliwe oprogramowanie zostało podpisane legalnym południowokoreańskim certyfikatem cyfrowym od Hancom – taktykę tę Quantstamp zidentyfikował jako charakterystyczną dla poprzednich operacji powiązanych z KRL-D .
• Taktyka operacyjna: Wieloetapowe podejście – od phishingu po wyciek kluczy i drenaż międzyłańcuchowy – odzwierciedla znany podręcznik działań Grupy Lazarus i jej afiliantów, które ukradły już ponad 3 miliardy dolarów w kryptowalutach .

Raport wyjaśnił również bieżące ryzyko: podczas gdy kontrakt tokena H na Ethereum został zamrożony przez nieprzejęty wielopodpisowy portfel, wdrożenie na BNB Smart Chain pozostaje trwale pod kontrolą atakujących, z możliwością dalszego bicia tokenów .

Krach tokena H i odbicie o 210%

Krach

Bezpośrednio po ataku 8 czerwca ceny tokenów H gwałtownie spadły. Z najwyższego w historii poziomu 0,844 dolara z 2 czerwca, token stracił około 74%, osiągając minima między 0,05 a 0,13 dolara w wyniku panicznej wyprzedaży .

Rajdy odbicia

Nastąpiła seria rajdów ulgi:

• 12 czerwca: H wzrósł o około 44% w ciągu jednego dnia, wracając do handlu w okolicach 0,227 dolara. Wzrost był napędzany ogłoszeniem działań naprawczych Humanity Protocol i zamrożeniem kontraktu na Ethereum .
• 14 czerwca: Kolejny 42-procentowy jednodniowy rajd pchnął token do maksimum 0,6276 dolara, co stanowiło odbicie o około 210% od minimów po ataku .

Dlaczego wzrost był ryzykowny

To dramatyczne odbicie nie opierało się na poprawie fundamentów. Dane z CoinMarketCap pokazały, że rajd z 14 czerwca był wspierany przez 131-procentowy wzrost otwartego zainteresowania do 213 mln dolarów, co wskazuje na masowy napływ spekulacyjnych pozycji lewarowanych . CoinMarketCap wyraźnie ostrzegł, że ta akumulacja dźwigni finansowej niesie ze sobą podwyższone ryzyko zmienności, ostrzegając, że każda nagła zmiana trendu może wywołać kaskadowe likwidacje .

Już 15 czerwca token cofnął się do około 0,23–0,30 dolara, potwierdzając kruchość spekulacyjnego rajdu .

Szersze implikacje dla bezpieczeństwa Web3

Włamanie do Humanity Protocol nie jest odosobnionym incydentem – to podręcznikowy przykład strukturalnych podatności, które utrzymują się w całym Web3, nawet w projektach zaprojektowanych wokół decentralizacji.

1. Mit decentralizacji przez multi-sig. Humanity używał konfiguracji 3 z 6 Gnosis Safe do kontroli mostu. Jednak trzy z tych sześciu kluczy były przechowywane na jednym laptopie pracownika. Włamanie pokazuje, że schemat multi-sig jest tak bezpieczny, jak rozproszone fizyczne przechowywanie jego kluczy – rzeczywistość, którą wiele projektów wciąż zaniedbuje .

2. Hakerstwo północnokoreańskie jest teraz przewidywalnym, powtarzającym się zagrożeniem. Jednostki cybernetyczne KRL-D, w tym Grupa Lazarus, udoskonaliły powtarzalny podręcznik: zidentyfikuj projekt krypto, skompromituj programistę lub dyrektora przez socjotechnikę, ukradnij klucze prywatne i opróżnij fundusze między łańcuchami. Humanity Protocol jest najnowszym wpisem na długiej i rosnącej liście .

3. Mosty międzyłańcuchowe pozostają krytycznymi punktami kontrolnymi. Z założenia mosty przechowują duże, płynne pule aktywów kontrolowane przez niewielką liczbę kluczy administratorskich. To czyni je nieodpartymi celami. Równoczesne wykorzystanie mostów Ethereum i BSC w tym ataku wzmacnia, dlaczego bezpieczeństwo mostów – nie tylko audyt inteligentnych kontraktów, ale zarządzanie kluczami i kontrola dostępu – powinno być najwyższym priorytetem dla każdego projektu międzyłańcuchowego .

4. Rajdy po ataku mogą być pułapkami. 210-procentowy wzrost tokena H przyciągnął traderów goniących za szybkim odbiciem, ale dane o dźwigni finansowej sugerowały zatłoczony, niestabilny handel. Gdy token odbija się na spekulacji, a nie na wiarygodnym rozwiązaniu – zwłaszcza gdy jeden łańcuch jest nadal trwale skompromitowany – ryzyko drugiego krachu nie jest teoretyczne .

5. Presja regulacyjna wzrośnie. Gdy w kradzież kryptowalut zamieszany jest podmiot państwowy, taki jak Korea Północna, organy regulacyjne zwracają uwagę. Należy spodziewać się ponownego wzmożenia kontroli zgodności z KYC/AML, standardów zarządzania kluczami powierniczymi i obowiązkowych audytów bezpieczeństwa – szczególnie dla protokołów obsługujących mosty międzyłańcuchowe, które przechowują środki użytkowników .

Atak: jeden e-mail phishingowy, jeden zainfekowany laptop

Punktem wejścia była zaskakująco banalna sytuacja. 5 czerwca dyrektor Chong Yee Wai otrzymał e-mail, który wyglądał jak wiadomość od Bithumb, dotyczącą harmonogramu blokady podaży w obiegu. Załącznik zawierał złośliwe oprogramowanie w pliku ZIP .

Po otwarciu załącznika zainstalowało się złośliwe oprogramowanie – konkretnie plik o nazwie hncagent.exe – podpisany cyfrowo przy użyciu legalnego południowokoreańskiego certyfikatu od firmy Hancom. Quantstamp zauważył, że ten wzorzec podpisywania certyfikatu jest znanym znakiem rozpoznawczym północnokoreańskich operacji cybernetycznych .

Po zainstalowaniu, złośliwe oprogramowanie dało atakującym pełny zdalny dostęp do laptopa dyrektora. Z tego jednego komputera wyciekło siedem kluczy prywatnych: trzy z sześciu kluczy właścicielskich multi-portfela Gnosis Safe, które zarządzały mostem Ethereum, oraz dodatkowe klucze umożliwiające aktualizację kontraktów .

Przebieg włamania na dwóch łańcuchach

Po przejęciu kluczy administracyjnych mostu, atakujący przeprowadzili równoległe ataki na Ethereum i BNB Smart Chain w skoordynowanym oknie czasowym:

Na Ethereum:

• Atakujący zaktualizowali kontrakt mostu tokena H do złośliwej wersji, którą kontrolowali .
• Następnie wyprowadzili około 141 mln tokenów H z mostu w jednej transakcji .
• Skradzione tokeny zostały w większości wymienione lub przeniesione na inne aktywa i przesłane do zewnętrznych portfeli, co niezwykle utrudnia odzyskanie środków .

Na BNB Smart Chain:

• Atakujący przejęli kontrolę nad kontraktem ProxyAdmin .
• Wykorzystując ten dostęp, wybili dodatkowe tokeny H bezpośrednio, skutecznie tworząc nową podaż z niczego .
• Nowo wybite i skradzione tokeny były następnie systematycznie sprzedawane na Uniswap i PancakeSwap przez około osiem godzin, powodując krach ceny tokena .

Co kluczowe, atak nie wykorzystał żadnego błędu w inteligentnym kontrakcie. Było to czyste naruszenie polegające na przejęciu kluczy, spowodowane kampanią phishingową wymierzoną w człowieka. Humanity Protocol później wyraźnie to potwierdził, stwierdzając, że żadne inteligentne kontrakty nie zostały wykorzystane .

Ustalenia Quantstamp i powiązanie z Koreą Północną

Humanity Protocol wynajął Quantstamp 9 czerwca, dzień po włamaniu. Firma bezpieczeństwa opublikowała wstępny raport z dochodzenia 11 czerwca, a projekt publicznie przypisał kradzież hakerom powiązanym z Koreą Północną 12 czerwca, a pełne ustalenia Quantstamp opublikował 14 czerwca .

Kluczowe wskaźniki kryminalistyczne, które skierowały Quantstamp w stronę podmiotów powiązanych z KRL-D, obejmowały:

• Narzędzia i zachowanie złośliwego oprogramowania: Użycie hncagent.exe jako ładowarki pierwszego etapu, wraz z wzorcami zdalnego dostępu, pasowało do znanych zestawów włamań północnokoreańskich .
• Nadużycie certyfikatu cyfrowego: Złośliwe oprogramowanie zostało podpisane legalnym południowokoreańskim certyfikatem cyfrowym od Hancom – taktykę tę Quantstamp zidentyfikował jako charakterystyczną dla poprzednich operacji powiązanych z KRL-D .
• Taktyka operacyjna: Wieloetapowe podejście – od phishingu po wyciek kluczy i drenaż międzyłańcuchowy – odzwierciedla znany podręcznik działań Grupy Lazarus i jej afiliantów, które ukradły już ponad 3 miliardy dolarów w kryptowalutach .

Raport wyjaśnił również bieżące ryzyko: podczas gdy kontrakt tokena H na Ethereum został zamrożony przez nieprzejęty wielopodpisowy portfel, wdrożenie na BNB Smart Chain pozostaje trwale pod kontrolą atakujących, z możliwością dalszego bicia tokenów .

Krach tokena H i odbicie o 210%

Krach

Bezpośrednio po ataku 8 czerwca ceny tokenów H gwałtownie spadły. Z najwyższego w historii poziomu 0,844 dolara z 2 czerwca, token stracił około 74%, osiągając minima między 0,05 a 0,13 dolara w wyniku panicznej wyprzedaży .

Rajdy odbicia

Nastąpiła seria rajdów ulgi:

• 12 czerwca: H wzrósł o około 44% w ciągu jednego dnia, wracając do handlu w okolicach 0,227 dolara. Wzrost był napędzany ogłoszeniem działań naprawczych Humanity Protocol i zamrożeniem kontraktu na Ethereum .
• 14 czerwca: Kolejny 42-procentowy jednodniowy rajd pchnął token do maksimum 0,6276 dolara, co stanowiło odbicie o około 210% od minimów po ataku .

Dlaczego wzrost był ryzykowny

To dramatyczne odbicie nie opierało się na poprawie fundamentów. Dane z CoinMarketCap pokazały, że rajd z 14 czerwca był wspierany przez 131-procentowy wzrost otwartego zainteresowania do 213 mln dolarów, co wskazuje na masowy napływ spekulacyjnych pozycji lewarowanych . CoinMarketCap wyraźnie ostrzegł, że ta akumulacja dźwigni finansowej niesie ze sobą podwyższone ryzyko zmienności, ostrzegając, że każda nagła zmiana trendu może wywołać kaskadowe likwidacje .

Już 15 czerwca token cofnął się do około 0,23–0,30 dolara, potwierdzając kruchość spekulacyjnego rajdu .

Szersze implikacje dla bezpieczeństwa Web3

Włamanie do Humanity Protocol nie jest odosobnionym incydentem – to podręcznikowy przykład strukturalnych podatności, które utrzymują się w całym Web3, nawet w projektach zaprojektowanych wokół decentralizacji.

1. Mit decentralizacji przez multi-sig. Humanity używał konfiguracji 3 z 6 Gnosis Safe do kontroli mostu. Jednak trzy z tych sześciu kluczy były przechowywane na jednym laptopie pracownika. Włamanie pokazuje, że schemat multi-sig jest tak bezpieczny, jak rozproszone fizyczne przechowywanie jego kluczy – rzeczywistość, którą wiele projektów wciąż zaniedbuje .

2. Hakerstwo północnokoreańskie jest teraz przewidywalnym, powtarzającym się zagrożeniem. Jednostki cybernetyczne KRL-D, w tym Grupa Lazarus, udoskonaliły powtarzalny podręcznik: zidentyfikuj projekt krypto, skompromituj programistę lub dyrektora przez socjotechnikę, ukradnij klucze prywatne i opróżnij fundusze między łańcuchami. Humanity Protocol jest najnowszym wpisem na długiej i rosnącej liście .

3. Mosty międzyłańcuchowe pozostają krytycznymi punktami kontrolnymi. Z założenia mosty przechowują duże, płynne pule aktywów kontrolowane przez niewielką liczbę kluczy administratorskich. To czyni je nieodpartymi celami. Równoczesne wykorzystanie mostów Ethereum i BSC w tym ataku wzmacnia, dlaczego bezpieczeństwo mostów – nie tylko audyt inteligentnych kontraktów, ale zarządzanie kluczami i kontrola dostępu – powinno być najwyższym priorytetem dla każdego projektu międzyłańcuchowego .

4. Rajdy po ataku mogą być pułapkami. 210-procentowy wzrost tokena H przyciągnął traderów goniących za szybkim odbiciem, ale dane o dźwigni finansowej sugerowały zatłoczony, niestabilny handel. Gdy token odbija się na spekulacji, a nie na wiarygodnym rozwiązaniu – zwłaszcza gdy jeden łańcuch jest nadal trwale skompromitowany – ryzyko drugiego krachu nie jest teoretyczne .

5. Presja regulacyjna wzrośnie. Gdy w kradzież kryptowalut zamieszany jest podmiot państwowy, taki jak Korea Północna, organy regulacyjne zwracają uwagę. Należy spodziewać się ponownego wzmożenia kontroli zgodności z KYC/AML, standardów zarządzania kluczami powierniczymi i obowiązkowych audytów bezpieczeństwa – szczególnie dla protokołów obsługujących mosty międzyłańcuchowe, które przechowują środki użytkowników .