När bilagan öppnades installerades filen hncagent.exe. Skadlig kod med samma namn var digitalt signerad med ett äkta sydkoreanskt certifikat från Hancom. Quantstamp uppgav att kombinationen av certifikatanvändningen och den observerade tekniken är förenlig med tidigare cyberoperationer kopplade till Nordkorea .

Programmet gav angriparna full fjärråtkomst till datorn. Därifrån kunde de stjäla sju privata nycklar – bland annat tre av de sex ägarnycklarna i en Gnosis Safe-plånbok med multisignatur som styrde Ethereum-bron, samt ytterligare nycklar med behörighet att uppgradera kontrakt .

Angreppet mot två blockkedjor

När angriparna hade kontroll över administrationsnycklarna genomförde de en samordnad attack mot båda nätverken.

På Ethereum:

• H-token-bron uppgraderades till en skadlig kontraktsversion som stod under angriparnas kontroll .
• Omkring 141 miljoner H-token tömdes från bron i en enda transaktion .
• De stulna tokenen byttes till stor del mot andra tillgångar eller skickades vidare via broar till externa plånböcker, vilket gjorde ett återkrav svårt .

På BNB Smart Chain:

• Angriparna tog kontroll över kontraktet ProxyAdmin .
• Med den åtkomsten kunde de skapa nya H-token direkt och därmed öka utbudet .
• De nyskapade och stulna tokenen såldes sedan systematiskt på Uniswap och PancakeSwap under omkring åtta timmar. Försäljningarna pressade ned priset kraftigt .

Det centrala i händelsen är att ingen sårbarhet i ett smart kontrakt behövde utnyttjas. Intrånget var i stället ett resultat av stulna behörigheter och privata nycklar efter en riktad nätfiskekampanj. Humanity Protocol har uttryckligen sagt att inga smarta kontrakt exploaterades .

Quantstamps fynd och kopplingen till Nordkorea

Humanity Protocol anlitade blockkedjesäkerhetsföretaget Quantstamp den 9 juni, dagen efter intrånget. Företaget publicerade en preliminär rapport den 11 juni och kopplade senare angreppet till hotaktörer med band till Nordkorea. Humanity Protocol offentliggjorde sin attribution den 12 juni och presenterade Quantstamps fullständiga fynd den 14 juni .

Utredningen pekade framför allt på tre typer av tekniska indikatorer:

• Skadlig kod och angreppsbeteende: Användningen av hncagent.exe som ett första steg, tillsammans med mönstret för fjärråtkomst, liknade tidigare intrång som kopplats till nordkoreanska aktörer .
• Missbruk av digitala certifikat: Den skadliga filen var signerad med ett legitimt Hancom-certifikat från Sydkorea. Quantstamp beskrev detta som ett kännetecken för flera tidigare DPRK-kopplade operationer .
• Angreppets upplägg: Kedjan från social manipulation till skadlig kod, stulna nycklar och ett koordinerat uttag över flera blockkedjor liknar den metodik som länge förknippats med Lazarusgruppen och närstående grupper .

Attributionen är samtidigt en bedömning baserad på tekniska spår, inte ett offentligt fastställt domstolsbeslut. Flera rapporter beskriver därför aktörerna som nordkoreanskt kopplade eller misstänkta.

Utredningen visade också att hotet inte är helt undanröjt. H-token-kontraktet på Ethereum frystes av en multisignaturplånbok som angriparna inte kontrollerade. Däremot uppgavs BNB Smart Chain-distributionen fortfarande ligga under angriparnas kontroll, vilket innebar att de kunde fortsätta skapa nya token .

H-token: först ett ras, sedan en våldsam rekyl

Fallet efter attacken

Före intrånget hade H-token nått en rekordnivå på 0,844 dollar den 2 juni. Efter attacken föll priset omkring 74 procent och handlades som lägst i intervallet 0,05–0,13 dollar när investerare försökte ta sig ur positionerna .

Uppgången den 12 och 14 juni

Den första lättnadsreaktionen kom den 12 juni. H-token steg då omkring 44 procent på ett dygn och handlades runt 0,227 dollar, bland annat efter besked om åtgärder och att Ethereum-kontraktet hade frysts .

Den 14 juni kom ännu en kraftig uppgång på omkring 42 procent. Dagens högsta notering blev 0,6276 dollar – cirka 210 procent över de lägsta nivåerna efter attacken .

Varför återhämtningen var riskfylld

Uppgången innebar inte att projektets grundläggande säkerhetsproblem var lösta. CoinMarketCap-data visade att öppna derivatpositioner, så kallat Open Interest, ökade med 131 procent till 213 miljoner dollar den 14 juni. Det tydde på ett stort inflöde av spekulativa och belånade positioner .

CoinMarketCap varnade för förhöjd volatilitet: om priset vände ned kunde hävstången utlösa tvångslikvideringar och förstärka fallet . Redan den 15 juni hade H-token fallit tillbaka till omkring 0,23–0,30 dollar, vilket underströk hur skör rekylen var .

Vad händelsen säger om Web3-säkerhet

Multisignatur är inte samma sak som decentralisering

Humanity Protocol använde en 3-av-6-lösning i Gnosis Safe för att styra bron. Men tre av de sex nycklarna fanns på samma medarbetares dator. När den enheten komprometterades kunde angriparna samla tillräckligt många nycklar för att ta kontroll över kritisk infrastruktur .

En multisignaturmodell skyddar därför inte automatiskt mot ett centralt operativt fel. Nycklarna måste också vara fysiskt och organisatoriskt separerade, med stark åtkomstkontroll och säkra rutiner för säkerhetskopior.

Den mänskliga faktorn är fortfarande den svagaste länken

Intrånget började inte med en avancerad kodbugg, utan med ett trovärdigt mejl och en skadlig bilaga. För projekt som hanterar stora tokenreserver kan en enda komprometterad dator ge tillgång till hela systemets mest känsliga behörigheter.

Bryggor är särskilt attraktiva mål

Korsblockskedjebryggor håller ofta stora och likvida tillgångspooler, samtidigt som deras administration kan ligga hos ett begränsat antal nycklar. Humanity-incidenten visar därför att säkerhetsgranskningar måste omfatta mer än själva smarta kontrakten. Nyckelhantering, behörigheter och fysisk separation är minst lika centrala .

En snabb prisuppgång kan vara en fälla

H-token steg kraftigt efter attacken, men uppgången sammanföll med en kraftig ökning av belånad handel. När en token återhämtar sig på spekulation samtidigt som en blockkedjedistribution fortfarande är komprometterad är risken för ett nytt ras konkret – inte bara teoretisk .

Kraven på kontroll kan skärpas

En kryptostöld där nordkoreanskt kopplade aktörer misstänks vara inblandade kan också öka trycket på projekt och handelsplatser. KYC- och AML-rutiner, förvaring av administrativa nycklar och oberoende säkerhetsgranskningar kan komma att granskas hårdare, särskilt när protokoll driver bryggor som hanterar användarnas tillgångar .

När bilagan öppnades installerades filen hncagent.exe. Skadlig kod med samma namn var digitalt signerad med ett äkta sydkoreanskt certifikat från Hancom. Quantstamp uppgav att kombinationen av certifikatanvändningen och den observerade tekniken är förenlig med tidigare cyberoperationer kopplade till Nordkorea .

Programmet gav angriparna full fjärråtkomst till datorn. Därifrån kunde de stjäla sju privata nycklar – bland annat tre av de sex ägarnycklarna i en Gnosis Safe-plånbok med multisignatur som styrde Ethereum-bron, samt ytterligare nycklar med behörighet att uppgradera kontrakt .

Angreppet mot två blockkedjor

När angriparna hade kontroll över administrationsnycklarna genomförde de en samordnad attack mot båda nätverken.

På Ethereum:

• H-token-bron uppgraderades till en skadlig kontraktsversion som stod under angriparnas kontroll .
• Omkring 141 miljoner H-token tömdes från bron i en enda transaktion .
• De stulna tokenen byttes till stor del mot andra tillgångar eller skickades vidare via broar till externa plånböcker, vilket gjorde ett återkrav svårt .

På BNB Smart Chain:

• Angriparna tog kontroll över kontraktet ProxyAdmin .
• Med den åtkomsten kunde de skapa nya H-token direkt och därmed öka utbudet .
• De nyskapade och stulna tokenen såldes sedan systematiskt på Uniswap och PancakeSwap under omkring åtta timmar. Försäljningarna pressade ned priset kraftigt .

Det centrala i händelsen är att ingen sårbarhet i ett smart kontrakt behövde utnyttjas. Intrånget var i stället ett resultat av stulna behörigheter och privata nycklar efter en riktad nätfiskekampanj. Humanity Protocol har uttryckligen sagt att inga smarta kontrakt exploaterades .

Quantstamps fynd och kopplingen till Nordkorea

Humanity Protocol anlitade blockkedjesäkerhetsföretaget Quantstamp den 9 juni, dagen efter intrånget. Företaget publicerade en preliminär rapport den 11 juni och kopplade senare angreppet till hotaktörer med band till Nordkorea. Humanity Protocol offentliggjorde sin attribution den 12 juni och presenterade Quantstamps fullständiga fynd den 14 juni .

Utredningen pekade framför allt på tre typer av tekniska indikatorer:

• Skadlig kod och angreppsbeteende: Användningen av hncagent.exe som ett första steg, tillsammans med mönstret för fjärråtkomst, liknade tidigare intrång som kopplats till nordkoreanska aktörer .
• Missbruk av digitala certifikat: Den skadliga filen var signerad med ett legitimt Hancom-certifikat från Sydkorea. Quantstamp beskrev detta som ett kännetecken för flera tidigare DPRK-kopplade operationer .
• Angreppets upplägg: Kedjan från social manipulation till skadlig kod, stulna nycklar och ett koordinerat uttag över flera blockkedjor liknar den metodik som länge förknippats med Lazarusgruppen och närstående grupper .

Attributionen är samtidigt en bedömning baserad på tekniska spår, inte ett offentligt fastställt domstolsbeslut. Flera rapporter beskriver därför aktörerna som nordkoreanskt kopplade eller misstänkta.

Utredningen visade också att hotet inte är helt undanröjt. H-token-kontraktet på Ethereum frystes av en multisignaturplånbok som angriparna inte kontrollerade. Däremot uppgavs BNB Smart Chain-distributionen fortfarande ligga under angriparnas kontroll, vilket innebar att de kunde fortsätta skapa nya token .

H-token: först ett ras, sedan en våldsam rekyl

Fallet efter attacken

Före intrånget hade H-token nått en rekordnivå på 0,844 dollar den 2 juni. Efter attacken föll priset omkring 74 procent och handlades som lägst i intervallet 0,05–0,13 dollar när investerare försökte ta sig ur positionerna .

Uppgången den 12 och 14 juni

Den första lättnadsreaktionen kom den 12 juni. H-token steg då omkring 44 procent på ett dygn och handlades runt 0,227 dollar, bland annat efter besked om åtgärder och att Ethereum-kontraktet hade frysts .

Den 14 juni kom ännu en kraftig uppgång på omkring 42 procent. Dagens högsta notering blev 0,6276 dollar – cirka 210 procent över de lägsta nivåerna efter attacken .

Varför återhämtningen var riskfylld

Uppgången innebar inte att projektets grundläggande säkerhetsproblem var lösta. CoinMarketCap-data visade att öppna derivatpositioner, så kallat Open Interest, ökade med 131 procent till 213 miljoner dollar den 14 juni. Det tydde på ett stort inflöde av spekulativa och belånade positioner .

CoinMarketCap varnade för förhöjd volatilitet: om priset vände ned kunde hävstången utlösa tvångslikvideringar och förstärka fallet . Redan den 15 juni hade H-token fallit tillbaka till omkring 0,23–0,30 dollar, vilket underströk hur skör rekylen var .

Vad händelsen säger om Web3-säkerhet

Multisignatur är inte samma sak som decentralisering

Humanity Protocol använde en 3-av-6-lösning i Gnosis Safe för att styra bron. Men tre av de sex nycklarna fanns på samma medarbetares dator. När den enheten komprometterades kunde angriparna samla tillräckligt många nycklar för att ta kontroll över kritisk infrastruktur .

En multisignaturmodell skyddar därför inte automatiskt mot ett centralt operativt fel. Nycklarna måste också vara fysiskt och organisatoriskt separerade, med stark åtkomstkontroll och säkra rutiner för säkerhetskopior.

Den mänskliga faktorn är fortfarande den svagaste länken

Intrånget började inte med en avancerad kodbugg, utan med ett trovärdigt mejl och en skadlig bilaga. För projekt som hanterar stora tokenreserver kan en enda komprometterad dator ge tillgång till hela systemets mest känsliga behörigheter.

Bryggor är särskilt attraktiva mål

Korsblockskedjebryggor håller ofta stora och likvida tillgångspooler, samtidigt som deras administration kan ligga hos ett begränsat antal nycklar. Humanity-incidenten visar därför att säkerhetsgranskningar måste omfatta mer än själva smarta kontrakten. Nyckelhantering, behörigheter och fysisk separation är minst lika centrala .

En snabb prisuppgång kan vara en fälla

H-token steg kraftigt efter attacken, men uppgången sammanföll med en kraftig ökning av belånad handel. När en token återhämtar sig på spekulation samtidigt som en blockkedjedistribution fortfarande är komprometterad är risken för ett nytt ras konkret – inte bara teoretisk .

Kraven på kontroll kan skärpas

En kryptostöld där nordkoreanskt kopplade aktörer misstänks vara inblandade kan också öka trycket på projekt och handelsplatser. KYC- och AML-rutiner, förvaring av administrativa nycklar och oberoende säkerhetsgranskningar kan komma att granskas hårdare, särskilt när protokoll driver bryggor som hanterar användarnas tillgångar .