Hack de US$ 36 Milhões no Humanity Protocol: Como um E-mail Falso da Bithumb Derrubou um Projeto de Identidade Descentralizada

Quando o anexo foi aberto, instalou um malware — especificamente um arquivo chamado hncagent.exe — que estava digitalmente assinado com um certificado sul-coreano legítimo da Hancom. A Quantstamp observou que este padrão de uso de certificado é uma marca registrada conhecida das operações cibernéticas da Coreia do Norte .

Uma vez instalado, o malware concedeu aos invasores acesso remoto total ao laptop do diretor. Daquela única máquina, eles extraíram sete chaves privadas: três das seis chaves de proprietário da carteira multi-assinatura Gnosis Safe que governava a ponte Ethereum, além de chaves adicionais que permitiam a atualização de contratos .

Como o Ataque se Desenrolou em Duas Redes

Com o controle das chaves de administração da ponte, os invasores executaram ataques paralelos no Ethereum e na BNB Smart Chain em uma janela coordenada:

No Ethereum:

• Os invasores atualizaram o contrato da ponte do token H para uma versão maliciosa sob seu controle .
• Em seguida, drenaram cerca de 141 milhões de tokens H da ponte em uma única transação .
• Os tokens roubados foram em grande parte trocados ou transferidos para outros ativos e movidos para carteiras externas, tornando a recuperação extremamente difícil .

Na BNB Smart Chain:

• Os invasores assumiram o controle do contrato ProxyAdmin .
• Usando este acesso, eles criaram tokens H adicionais diretamente, efetivamente gerando nova oferta do nada .
• Os tokens recém-criados e roubados foram então sistematicamente vendidos nas corretoras descentralizadas (DEXs) Uniswap e PancakeSwap por aproximadamente oito horas, derrubando o preço do token .

Crucialmente, o ataque não explorou uma falha em nenhum contrato inteligente. Foi uma violação pura por comprometimento de chaves, impulsionada por uma campanha de phishing voltada para humanos. O Humanity Protocol confirmou isso mais tarde, declarando que nenhum contrato inteligente foi explorado .

As Descobertas Forenses da Quantstamp e o Elo com a Coreia do Norte

O Humanity Protocol contratou a Quantstamp em 9 de junho, um dia após a violação. A empresa de segurança divulgou seu relatório de investigação preliminar em 11 de junho, e o projeto atribuiu publicamente o roubo a hackers ligados à Coreia do Norte em 12 de junho, divulgando completamente as descobertas da Quantstamp em 14 de junho .

Os principais indicadores forenses que apontaram a Quantstamp para agentes de ameaças ligados à Coreia do Norte (RPDC) incluíram:

• Ferramentas e comportamento do malware: O uso do hncagent.exe como um carregador de primeiro estágio, junto com os padrões de acesso remoto observados, correspondia a conjuntos de intrusão norte-coreanos conhecidos .
• Abuso de certificado digital: O malware foi assinado com um certificado digital sul-coreano legítimo da Hancom, uma tática que a Quantstamp identificou como característica de operações anteriores ligadas à RPDC .
• Técnica operacional: A abordagem em múltiplos estágios, de phishing à exfiltração de chaves e à drenagem em várias redes, espelha o manual de estratégia fortemente baseado em engenharia social, há muito associado ao Grupo Lazarus e seus afiliados, que já roubaram mais de US$ 3 bilhões em criptomoedas por métodos semelhantes .

O relatório também esclareceu o risco contínuo: enquanto o contrato do token H no Ethereum foi congelado por uma carteira multi-assinatura não comprometida, a implantação na BNB Smart Chain permanece permanentemente sob o controle do invasor, com capacidade contínua de criar novos tokens .

A Queda do Token H e a Disparada de 210%

A Queda

Imediatamente após o ataque de 8 de junho, os preços do token H despencaram. De uma máxima histórica de US$ 0,844 em 2 de junho, o token caiu cerca de 74%, atingindo mínimas entre US$ 0,05 e US$ 0,13 em meio a vendas em pânico .

As Recuperações

Uma série de altas de alívio se seguiu:

• 12 de junho: O token H subiu aproximadamente 44% em um único dia, sendo negociado de volta a cerca de US$ 0,227. O salto foi impulsionado pelo anúncio de mitigação do Humanity Protocol e pelo congelamento do contrato no Ethereum .
• 14 de junho: Outra alta de 42% em um dia empurrou o token para uma máxima de US$ 0,6276, representando uma disparada de aproximadamente 210% em relação às mínimas pós-ataque .

Por que a Alta Foi Arriscada

Esta recuperação dramática não foi construída sobre fundamentos restaurados. Dados do CoinMarketCap mostraram que a alta de 14 de junho foi acompanhada por um aumento de 131% no Open Interest para US$ 213 milhões, indicando um fluxo massivo de posições alavancadas especulativas . A análise do CoinMarketCap sinalizou explicitamente que esse acúmulo de alavancagem carregava risco elevado de volatilidade, alertando que qualquer reversão repentina poderia desencadear liquidações em cascata .

Até 15 de junho, o token já havia recuado para cerca de US$ 0,23–US$ 0,30, confirmando a fragilidade da alta especulativa .

Implicações Mais Amplas para a Segurança da Web3

A violação do Humanity Protocol não é um incidente isolado — é uma ilustração clássica das vulnerabilidades estruturais que persistem na Web3, mesmo em projetos explicitamente projetados em torno da descentralização.

1. O mito da descentralização via multi-assinatura. O Humanity usou uma carteira Gnosis Safe de 3-de-6 para o controle da ponte. No entanto, três dessas seis chaves estavam armazenadas no laptop de um único funcionário. A violação demonstra que um esquema de multi-assinatura é tão seguro quanto a custódia física distribuída de suas chaves — uma realidade que muitos projetos ainda negligenciam .

2. A invasão hacker norte-coreana é agora uma ameaça previsível e recorrente. As unidades cibernéticas da RPDC, incluindo o Grupo Lazarus, refinaram um manual repetível: identificar um projeto cripto, comprometer um desenvolvedor ou executivo via engenharia social, roubar chaves privadas e drenar fundos através de várias redes. O Humanity Protocol é a entrada mais recente numa lista longa e crescente .

3. As pontes entre redes continuam sendo pontos de estrangulamento críticos. Por definição, as pontes detêm grandes pools de ativos líquidos controlados por um pequeno número de chaves de administrador. Isso as torna alvos irresistíveis. A exploração simultânea das pontes do Ethereum e da BSC neste ataque reforça por que a segurança de pontes — não apenas a auditoria de contratos inteligentes, mas a gestão de chaves e o controle de acesso — deve ser a principal prioridade para qualquer projeto entre redes .

4. Recuperações pós-ataque podem ser armadilhas. A disparada de 210% do token H atraiu traders em busca de uma recuperação rápida, mas os dados de alavancagem sugeriram uma negociação lotada e instável. Quando um token se recupera com base na especulação, em vez de uma resolução confiável — especialmente com uma rede ainda permanentemente comprometida — o risco de uma segunda queda não é teórico .

5. A pressão regulatória aumentará. Quando um ator estatal como a Coreia do Norte está implicado em um roubo de criptomoedas, os reguladores prestam atenção. Espere um escrutínio renovado sobre a conformidade KYC/AML (Conheça seu Cliente / Antilavagem de Dinheiro), padrões de gestão de chaves de custódia e auditorias de segurança obrigatórias — particularmente para protocolos que operam pontes entre redes que detêm fundos de usuários .