Атака: одно фишинговое письмо и один скомпрометированный ноутбук

Точка входа была до обидного простой. 5 июня директор Чонг Йи Вай получил письмо, которое якобы пришло от Bithumb и касалось графика блокировки оборотного предложения токенов. К письму прилагался вредоносный ZIP-файл .

При открытии вложения установилось вредоносное ПО — конкретно файл hncagent.exe, — цифровая подпись которого использовала легитимный южнокорейский сертификат от компании Hancom. Quantstamp отметила, что такая схема подписи является известным отличительным признаком северокорейских киберопераций .

После установки вредоносное ПО предоставило злоумышленникам полный удаленный доступ к ноутбуку директора. С этой единственной машины им удалось извлечь семь приватных ключей: три из шести ключей мультиподписного кошелька Gnosis Safe, управлявшего мостом Ethereum, а также дополнительные ключи, позволившие обновлять смарт-контракты .

Как развивалась эксплуатация в двух сетях

Завладев административными ключами моста, злоумышленники синхронно атаковали сети Ethereum и BNB Smart Chain:

В Ethereum:

• Злоумышленники обновили контракт моста токенов H до вредоносной версии, которую сами контролировали .
• Затем они вывели около 141 миллиона токенов H из моста в одной транзакции .
• Похищенные токены были в основном обменены или переведены в другие активы через мосты и отправлены на внешние кошельки, что крайне затруднило их возврат .

В BNB Smart Chain:

• Злоумышленники захватили контроль над контрактом ProxyAdmin .
• Используя этот доступ, они выпустили дополнительные токены H напрямую, фактически создав новую эмиссию из воздуха .
• Новые и украденные токены затем систематически продавались на Uniswap и PancakeSwap в течение примерно восьми часов, обрушив стоимость токена .

Важно подчеркнуть: в ходе атаки не была использована уязвимость в каком-либо смарт-контракте. Это было чистое нарушение безопасности, связанное с компрометацией ключей, вызванное фишинговой атакой на человека. Позже Humanity Protocol подтвердил это явно, заявив, что смарт-контракты не подвергались взлому .

Данные расследования Quantstamp и северокорейский след

Humanity Protocol нанял Quantstamp 9 июня, через день после взлома. Компания опубликовала предварительный отчет 11 июня, а проект публично приписал кражу северокорейским хакерам 12 июня, полностью раскрыв выводы Quantstamp 14 июня .

Ключевые криминалистические индикаторы, указавшие Quantstamp на субъектов угрозы, связанных с КНДР, включали:

• Инструментарий и поведение вредоносного ПО: использование hncagent.exe в качестве загрузчика первого этапа, а также наблюдаемые паттерны удаленного доступа совпали с известными наборами инструментов северокорейских вторжений .
• Злоупотребление цифровым сертификатом: вредонос был подписан легитимным южнокорейским цифровым сертификатом от Hancom, что Quantstamp идентифицировала как характерную тактику предыдущих операций, связанных с КНДР .
• Оперативный почерк: многоэтапный подход «фишинг — извлечение ключей — атака через кросс-чейн мосты» повторяет сценарии с упором на социальную инженерию, давно связываемые с Lazarus Group и их филиалами, которые украли более $3 миллиардов в криптовалюте подобными методами .

В отчете также поясняется сохраняющийся риск: хотя контракт токена H в Ethereum был заморожен нескомпрометированным мультиподписным кошельком, развертывание в BNB Smart Chain остается под постоянным контролем злоумышленников с возможностью дальнейшего выпуска токенов .

Обвал токена H и скачок на 210%

Обвал

Сразу после атаки 8 июня цена токена H резко упала. От исторического максимума в $0.844 2 июня, токен обвалился примерно на 74%, достигнув минимумов в диапазоне $0.05 – $0.13 на фоне панических продаж .

Раунды восстановления

За этим последовала серия отскоков:

• 12 июня: H вырос примерно на 44% за день, поднявшись до отметки $0.227. Скачок был вызван объявлением Humanity Protocol о мерах по смягчению последствий и заморозкой контракта в Ethereum .
• 14 июня: Еще один дневной скачок на 42% подтолкнул токен к максимуму на отметке $0.6276, что представляет собой примерно 210-процентный рост от пост-атакующих минимумов .

Почему этот скачок был рискованным

Этот драматичный рост не был основан на восстановлении фундаментальных показателей. Данные CoinMarketCap показали, что скачок 14 июня сопровождался всплеском открытого интереса на 131% до $213 миллионов, что указывало на массивный приток спекулятивных позиций с кредитным плечом . Аналитики CoinMarketCap прямо отметили, что это наращивание плеча несет повышенный риск волатильности, предупредив, что любой внезапный разворот может спровоцировать каскадные ликвидации .

К 15 июня токен уже откатился до диапазона $0.23-$0.30, подтвердив хрупкость спекулятивного ралли .

Более широкие последствия для безопасности Web3

Взлом Humanity Protocol — не единичный случай, а хрестоматийная иллюстрация структурных уязвимостей, сохраняющихся в Web3, даже в проектах, созданных с прицелом на децентрализацию.

1. Миф о децентрализации через мультиподпись. Humanity использовала кошелек Gnosis Safe 3-из-6 для управления мостом. Однако три из этих шести ключей хранились на ноутбуке одного сотрудника. Взлом демонстрирует, что схема мультиподписи ровно настолько безопасна, насколько безопасно распределенное физическое хранение ее ключей — реальность, которую многие проекты все еще игнорируют .

2. Северокорейский хакинг — предсказуемая, повторяющаяся угроза. Киберподразделения КНДР, включая Lazarus Group, отточили повторяемый сценарий: найти криптопроект, скомпрометировать разработчика или руководителя через социальную инженерию, украсть приватные ключи и вывести средства через разные сети. Humanity Protocol — лишь последняя запись в длинном и растущем списке .

3. Кросс-чейн мосты остаются критическими точками отказа. По своей конструкции мосты хранят большие, ликвидные пулы активов, управляемые небольшим количеством административных ключей. Это делает их непреодолимо привлекательной целью. Одновременная эксплуатация мостов Ethereum и BSC в этой атаке подчеркивает, почему безопасность мостов — не только аудит смарт-контрактов, но и управление ключами и контроль доступа — должна быть главным приоритетом для любого кросс-чейн проекта .

4. Послекризисные ралли могут быть ловушками. Скачок токена H на 210% привлек трейдеров, охотившихся за быстрым восстановлением, но данные по кредитному плечу указывали на переполненную и нестабильную сделку. Когда токен восстанавливается на спекуляциях, а не на реальном разрешении ситуации — особенно если одна сеть остается навсегда скомпрометированной — риск второго краха далеко не теоретический .

5. Давление со стороны регуляторов возрастет. Когда в краже криптовалюты замешан государственный субъект вроде КНДР, регуляторы обращают на это внимание. Ожидайте усиления контроля за соблюдением KYC/AML, стандартами хранения приватных ключей и обязательными аудитами безопасности — особенно для протоколов, управляющих кросс-чейн мостами с пользовательскими средствами .

Атака: одно фишинговое письмо и один скомпрометированный ноутбук

Точка входа была до обидного простой. 5 июня директор Чонг Йи Вай получил письмо, которое якобы пришло от Bithumb и касалось графика блокировки оборотного предложения токенов. К письму прилагался вредоносный ZIP-файл .

При открытии вложения установилось вредоносное ПО — конкретно файл hncagent.exe, — цифровая подпись которого использовала легитимный южнокорейский сертификат от компании Hancom. Quantstamp отметила, что такая схема подписи является известным отличительным признаком северокорейских киберопераций .

После установки вредоносное ПО предоставило злоумышленникам полный удаленный доступ к ноутбуку директора. С этой единственной машины им удалось извлечь семь приватных ключей: три из шести ключей мультиподписного кошелька Gnosis Safe, управлявшего мостом Ethereum, а также дополнительные ключи, позволившие обновлять смарт-контракты .

Как развивалась эксплуатация в двух сетях

Завладев административными ключами моста, злоумышленники синхронно атаковали сети Ethereum и BNB Smart Chain:

В Ethereum:

• Злоумышленники обновили контракт моста токенов H до вредоносной версии, которую сами контролировали .
• Затем они вывели около 141 миллиона токенов H из моста в одной транзакции .
• Похищенные токены были в основном обменены или переведены в другие активы через мосты и отправлены на внешние кошельки, что крайне затруднило их возврат .

В BNB Smart Chain:

• Злоумышленники захватили контроль над контрактом ProxyAdmin .
• Используя этот доступ, они выпустили дополнительные токены H напрямую, фактически создав новую эмиссию из воздуха .
• Новые и украденные токены затем систематически продавались на Uniswap и PancakeSwap в течение примерно восьми часов, обрушив стоимость токена .

Важно подчеркнуть: в ходе атаки не была использована уязвимость в каком-либо смарт-контракте. Это было чистое нарушение безопасности, связанное с компрометацией ключей, вызванное фишинговой атакой на человека. Позже Humanity Protocol подтвердил это явно, заявив, что смарт-контракты не подвергались взлому .

Данные расследования Quantstamp и северокорейский след

Humanity Protocol нанял Quantstamp 9 июня, через день после взлома. Компания опубликовала предварительный отчет 11 июня, а проект публично приписал кражу северокорейским хакерам 12 июня, полностью раскрыв выводы Quantstamp 14 июня .

Ключевые криминалистические индикаторы, указавшие Quantstamp на субъектов угрозы, связанных с КНДР, включали:

• Инструментарий и поведение вредоносного ПО: использование hncagent.exe в качестве загрузчика первого этапа, а также наблюдаемые паттерны удаленного доступа совпали с известными наборами инструментов северокорейских вторжений .
• Злоупотребление цифровым сертификатом: вредонос был подписан легитимным южнокорейским цифровым сертификатом от Hancom, что Quantstamp идентифицировала как характерную тактику предыдущих операций, связанных с КНДР .
• Оперативный почерк: многоэтапный подход «фишинг — извлечение ключей — атака через кросс-чейн мосты» повторяет сценарии с упором на социальную инженерию, давно связываемые с Lazarus Group и их филиалами, которые украли более $3 миллиардов в криптовалюте подобными методами .

В отчете также поясняется сохраняющийся риск: хотя контракт токена H в Ethereum был заморожен нескомпрометированным мультиподписным кошельком, развертывание в BNB Smart Chain остается под постоянным контролем злоумышленников с возможностью дальнейшего выпуска токенов .

Обвал токена H и скачок на 210%

Обвал

Сразу после атаки 8 июня цена токена H резко упала. От исторического максимума в $0.844 2 июня, токен обвалился примерно на 74%, достигнув минимумов в диапазоне $0.05 – $0.13 на фоне панических продаж .

Раунды восстановления

За этим последовала серия отскоков:

• 12 июня: H вырос примерно на 44% за день, поднявшись до отметки $0.227. Скачок был вызван объявлением Humanity Protocol о мерах по смягчению последствий и заморозкой контракта в Ethereum .
• 14 июня: Еще один дневной скачок на 42% подтолкнул токен к максимуму на отметке $0.6276, что представляет собой примерно 210-процентный рост от пост-атакующих минимумов .

Почему этот скачок был рискованным

Этот драматичный рост не был основан на восстановлении фундаментальных показателей. Данные CoinMarketCap показали, что скачок 14 июня сопровождался всплеском открытого интереса на 131% до $213 миллионов, что указывало на массивный приток спекулятивных позиций с кредитным плечом . Аналитики CoinMarketCap прямо отметили, что это наращивание плеча несет повышенный риск волатильности, предупредив, что любой внезапный разворот может спровоцировать каскадные ликвидации .

К 15 июня токен уже откатился до диапазона $0.23-$0.30, подтвердив хрупкость спекулятивного ралли .

Более широкие последствия для безопасности Web3

Взлом Humanity Protocol — не единичный случай, а хрестоматийная иллюстрация структурных уязвимостей, сохраняющихся в Web3, даже в проектах, созданных с прицелом на децентрализацию.

1. Миф о децентрализации через мультиподпись. Humanity использовала кошелек Gnosis Safe 3-из-6 для управления мостом. Однако три из этих шести ключей хранились на ноутбуке одного сотрудника. Взлом демонстрирует, что схема мультиподписи ровно настолько безопасна, насколько безопасно распределенное физическое хранение ее ключей — реальность, которую многие проекты все еще игнорируют .

2. Северокорейский хакинг — предсказуемая, повторяющаяся угроза. Киберподразделения КНДР, включая Lazarus Group, отточили повторяемый сценарий: найти криптопроект, скомпрометировать разработчика или руководителя через социальную инженерию, украсть приватные ключи и вывести средства через разные сети. Humanity Protocol — лишь последняя запись в длинном и растущем списке .

3. Кросс-чейн мосты остаются критическими точками отказа. По своей конструкции мосты хранят большие, ликвидные пулы активов, управляемые небольшим количеством административных ключей. Это делает их непреодолимо привлекательной целью. Одновременная эксплуатация мостов Ethereum и BSC в этой атаке подчеркивает, почему безопасность мостов — не только аудит смарт-контрактов, но и управление ключами и контроль доступа — должна быть главным приоритетом для любого кросс-чейн проекта .

4. Послекризисные ралли могут быть ловушками. Скачок токена H на 210% привлек трейдеров, охотившихся за быстрым восстановлением, но данные по кредитному плечу указывали на переполненную и нестабильную сделку. Когда токен восстанавливается на спекуляциях, а не на реальном разрешении ситуации — особенно если одна сеть остается навсегда скомпрометированной — риск второго краха далеко не теоретический .

5. Давление со стороны регуляторов возрастет. Когда в краже криптовалюты замешан государственный субъект вроде КНДР, регуляторы обращают на это внимание. Ожидайте усиления контроля за соблюдением KYC/AML, стандартами хранения приватных ключей и обязательными аудитами безопасности — особенно для протоколов, управляющих кросс-чейн мостами с пользовательскими средствами .