Один лист і зламаний ноутбук

Початок атаки виглядав буденно. 5 червня директор Chong Yee Wai отримав лист, який нібито надійшов від Bithumb і стосувався графіка блокування частини пропозиції токенів. До повідомлення додали шкідливий ZIP-архів .

Після відкриття вкладення на пристрій встановився файл hncagent.exe. Його було підписано чинним південнокорейським цифровим сертифікатом компанії Hancom. Quantstamp зазначила, що подібна схема використання сертифікатів уже траплялася в операціях, які пов’язують із північнокорейськими хакерами .

Шкідливе програмне забезпечення надало нападникам повний віддалений доступ до ноутбука. З нього вони вивели сім приватних ключів: три з шести ключів власників Gnosis Safe, які керували мостом в Ethereum, а також додаткові ключі для оновлення контрактів .

Як розгорталася атака у двох мережах

Отримавши контроль над адміністративними ключами мосту, зловмисники провели скоординовані операції в Ethereum і BNB Smart Chain.

В Ethereum вони:

• оновили контракт мосту токена H до шкідливої версії під власним контролем ;
• за одну транзакцію вивели приблизно 141 млн токенів H із мосту ;
• значну частину активів обміняли або перевели в інші токени, після чого відправили на зовнішні гаманці, що суттєво ускладнило повернення коштів .

У BNB Smart Chain нападники:

• отримали контроль над контрактом ProxyAdmin ;
• використали його для прямої емісії нових токенів H, фактично створивши додаткову пропозицію ;
• близько восьми годин систематично продавали викрадені й щойно випущені токени на Uniswap та PancakeSwap, посилюючи падіння ціни .

Ключовий момент: за повідомленням Humanity Protocol, у цій атаці не було експлуатовано вразливість смартконтрактів. Причиною стала компрометація облікових даних і приватних ключів .

Що виявила Quantstamp і чому згадують Північну Корею

Humanity Protocol найняла Quantstamp 9 червня — наступного дня після зламу. Попередній звіт компанія опублікувала 11 червня, а 12 червня проєкт публічно заявив, що за атакою, імовірно, стоять хакери, пов’язані з Північною Кореєю. Повні висновки Quantstamp оприлюднили 14 червня .

Серед технічних ознак, на які спиралося розслідування:

• Шкідливе програмне забезпечення та його поведінка. Використання hncagent.exe як завантажувача першого етапу й модель віддаленого доступу відповідали відомим тактикам північнокорейських угруповань .
• Зловживання цифровим сертифікатом. Файл було підписано легітимним сертифікатом південнокорейської Hancom — прийомом, який Quantstamp назвала характерним для низки попередніх операцій, пов’язаних із КНДР .
• Послідовність операцій. Схема «соціальна інженерія → зараження пристрою → викрадення ключів → атака на кілька блокчейнів» нагадує підхід, який давно пов’язують із Lazarus Group та афілійованими структурами .

Водночас атрибуція кібератак за технічними ознаками не є абсолютним доказом особи нападників: доступні джерела описують саме сильні індикатори та зв’язок із методами, характерними для таких угруповань .

Ризик для проєкту залишається нерівномірним у різних мережах. Контракт H в Ethereum заморозив мультипідписний гаманець, який не був скомпрометований. Натомість розгортання в BNB Smart Chain, за даними розслідування, назавжди залишається під контролем нападників із можливістю подальшої емісії токенів .

Обвал H і відскок на 210%

Падіння після атаки

Після зламу 8 червня токен H різко подешевшав. Від історичного максимуму $0,844, зафіксованого 2 червня, ціна впала приблизно на 74% і в панічному розпродажі опускалася до $0,05–$0,13 .

Ралі на тлі новин про захист

Потім почалися короткострокові відскоки:

• 12 червня: H подорожчав приблизно на 44% за день і повернувся до близько $0,227. Рух підтримали повідомлення Humanity Protocol про заходи реагування та заморожування контракту в Ethereum .
• 14 червня: ще одне денне зростання приблизно на 42% підняло токен до максимуму $0,6276. Від мінімумів після зламу це означало приблизно 210% приросту .

Чому це ралі було небезпечним

Відновлення не означало, що фундаментальні проблеми проєкту зникли. За даними CoinMarketCap, 14 червня відкритий інтерес — обсяг відкритих ф’ючерсних і маржинальних позицій — зріс на 131%, до $213 млн. Це вказувало на значний приплив спекулятивних позицій із кредитним плечем .

CoinMarketCap попередила про підвищений ризик волатильності: різкий розворот міг запустити ланцюгову ліквідацію позицій . Уже 15 червня токен відкотився приблизно до $0,23–$0,30, що підтвердило нестійкість такого відновлення .

Що цей злам показує про безпеку Web3

1. Мультипідпис не замінює фізичної ізоляції ключів

Humanity Protocol використовував схему 3-of-6 Gnosis Safe для керування мостом. Але три з шести ключів зберігалися на одному ноутбуці співробітника. Отже, мультипідпис захищає систему лише тоді, коли ключі справді розподілені між різними пристроями, місцями та операційними процедурами .

2. Людський фактор залишається головною точкою входу

Навіть проєкт, побудований навколо децентралізації, може бути паралізований одним переконливим листом. Безпечна інфраструктура має включати не лише аудит коду, а й апаратне зберігання ключів, сегментацію доступів, перевірку вкладень і окремі процеси для адміністративних операцій.

3. Кросчейн-мости — особливо приваблива ціль

Мости зазвичай утримують значні ліквідні резерви, а контроль над ними часто зосереджений у невеликої кількості адміністративних ключів. Одночасна атака на Ethereum і BNB Smart Chain показала, що захист мосту — це не тільки перевірка смартконтракту, а й контроль доступу та управління ключами .

4. Відскок після зламу може бути пасткою

Підйом H на 210% привабив трейдерів, які розраховували на швидке відновлення. Але зростання кредитного плеча зробило ринок уразливим до різкого другого обвалу. Особливо це важливо в ситуації, коли одна з мереж, за даними розслідування, все ще перебуває під контролем нападників .

5. Для індустрії зростатиме тиск щодо контролю ризиків

Крадіжка, яку пов’язують із державними хакерськими структурами КНДР, привертає увагу до процедур KYC/AML, зберігання ключів і незалежних аудитів. Для протоколів, що працюють із кросчейн-мостами та активами користувачів, такі вимоги можуть стати ще жорсткішими .

Злам Humanity Protocol нагадує: «децентралізований» протокол не стає автоматично безпечним. Якщо критичні ключі фактично зібрані навколо одного пристрою та однієї людини, достатньо одного добре підготовленого фішингового листа, щоб поставити під загрозу всю систему.

Один лист і зламаний ноутбук

Початок атаки виглядав буденно. 5 червня директор Chong Yee Wai отримав лист, який нібито надійшов від Bithumb і стосувався графіка блокування частини пропозиції токенів. До повідомлення додали шкідливий ZIP-архів .

Після відкриття вкладення на пристрій встановився файл hncagent.exe. Його було підписано чинним південнокорейським цифровим сертифікатом компанії Hancom. Quantstamp зазначила, що подібна схема використання сертифікатів уже траплялася в операціях, які пов’язують із північнокорейськими хакерами .

Шкідливе програмне забезпечення надало нападникам повний віддалений доступ до ноутбука. З нього вони вивели сім приватних ключів: три з шести ключів власників Gnosis Safe, які керували мостом в Ethereum, а також додаткові ключі для оновлення контрактів .

Як розгорталася атака у двох мережах

Отримавши контроль над адміністративними ключами мосту, зловмисники провели скоординовані операції в Ethereum і BNB Smart Chain.

В Ethereum вони:

• оновили контракт мосту токена H до шкідливої версії під власним контролем ;
• за одну транзакцію вивели приблизно 141 млн токенів H із мосту ;
• значну частину активів обміняли або перевели в інші токени, після чого відправили на зовнішні гаманці, що суттєво ускладнило повернення коштів .

У BNB Smart Chain нападники:

• отримали контроль над контрактом ProxyAdmin ;
• використали його для прямої емісії нових токенів H, фактично створивши додаткову пропозицію ;
• близько восьми годин систематично продавали викрадені й щойно випущені токени на Uniswap та PancakeSwap, посилюючи падіння ціни .

Ключовий момент: за повідомленням Humanity Protocol, у цій атаці не було експлуатовано вразливість смартконтрактів. Причиною стала компрометація облікових даних і приватних ключів .

Що виявила Quantstamp і чому згадують Північну Корею

Humanity Protocol найняла Quantstamp 9 червня — наступного дня після зламу. Попередній звіт компанія опублікувала 11 червня, а 12 червня проєкт публічно заявив, що за атакою, імовірно, стоять хакери, пов’язані з Північною Кореєю. Повні висновки Quantstamp оприлюднили 14 червня .

Серед технічних ознак, на які спиралося розслідування:

• Шкідливе програмне забезпечення та його поведінка. Використання hncagent.exe як завантажувача першого етапу й модель віддаленого доступу відповідали відомим тактикам північнокорейських угруповань .
• Зловживання цифровим сертифікатом. Файл було підписано легітимним сертифікатом південнокорейської Hancom — прийомом, який Quantstamp назвала характерним для низки попередніх операцій, пов’язаних із КНДР .
• Послідовність операцій. Схема «соціальна інженерія → зараження пристрою → викрадення ключів → атака на кілька блокчейнів» нагадує підхід, який давно пов’язують із Lazarus Group та афілійованими структурами .

Водночас атрибуція кібератак за технічними ознаками не є абсолютним доказом особи нападників: доступні джерела описують саме сильні індикатори та зв’язок із методами, характерними для таких угруповань .

Ризик для проєкту залишається нерівномірним у різних мережах. Контракт H в Ethereum заморозив мультипідписний гаманець, який не був скомпрометований. Натомість розгортання в BNB Smart Chain, за даними розслідування, назавжди залишається під контролем нападників із можливістю подальшої емісії токенів .

Обвал H і відскок на 210%

Падіння після атаки

Після зламу 8 червня токен H різко подешевшав. Від історичного максимуму $0,844, зафіксованого 2 червня, ціна впала приблизно на 74% і в панічному розпродажі опускалася до $0,05–$0,13 .

Ралі на тлі новин про захист

Потім почалися короткострокові відскоки:

• 12 червня: H подорожчав приблизно на 44% за день і повернувся до близько $0,227. Рух підтримали повідомлення Humanity Protocol про заходи реагування та заморожування контракту в Ethereum .
• 14 червня: ще одне денне зростання приблизно на 42% підняло токен до максимуму $0,6276. Від мінімумів після зламу це означало приблизно 210% приросту .

Чому це ралі було небезпечним

Відновлення не означало, що фундаментальні проблеми проєкту зникли. За даними CoinMarketCap, 14 червня відкритий інтерес — обсяг відкритих ф’ючерсних і маржинальних позицій — зріс на 131%, до $213 млн. Це вказувало на значний приплив спекулятивних позицій із кредитним плечем .

CoinMarketCap попередила про підвищений ризик волатильності: різкий розворот міг запустити ланцюгову ліквідацію позицій . Уже 15 червня токен відкотився приблизно до $0,23–$0,30, що підтвердило нестійкість такого відновлення .

Що цей злам показує про безпеку Web3

1. Мультипідпис не замінює фізичної ізоляції ключів

Humanity Protocol використовував схему 3-of-6 Gnosis Safe для керування мостом. Але три з шести ключів зберігалися на одному ноутбуці співробітника. Отже, мультипідпис захищає систему лише тоді, коли ключі справді розподілені між різними пристроями, місцями та операційними процедурами .

2. Людський фактор залишається головною точкою входу

Навіть проєкт, побудований навколо децентралізації, може бути паралізований одним переконливим листом. Безпечна інфраструктура має включати не лише аудит коду, а й апаратне зберігання ключів, сегментацію доступів, перевірку вкладень і окремі процеси для адміністративних операцій.

3. Кросчейн-мости — особливо приваблива ціль

Мости зазвичай утримують значні ліквідні резерви, а контроль над ними часто зосереджений у невеликої кількості адміністративних ключів. Одночасна атака на Ethereum і BNB Smart Chain показала, що захист мосту — це не тільки перевірка смартконтракту, а й контроль доступу та управління ключами .

4. Відскок після зламу може бути пасткою

Підйом H на 210% привабив трейдерів, які розраховували на швидке відновлення. Але зростання кредитного плеча зробило ринок уразливим до різкого другого обвалу. Особливо це важливо в ситуації, коли одна з мереж, за даними розслідування, все ще перебуває під контролем нападників .

5. Для індустрії зростатиме тиск щодо контролю ризиків

Крадіжка, яку пов’язують із державними хакерськими структурами КНДР, привертає увагу до процедур KYC/AML, зберігання ключів і незалежних аудитів. Для протоколів, що працюють із кросчейн-мостами та активами користувачів, такі вимоги можуть стати ще жорсткішими .

Злам Humanity Protocol нагадує: «децентралізований» протокол не стає автоматично безпечним. Якщо критичні ключі фактично зібрані навколо одного пристрою та однієї людини, достатньо одного добре підготовленого фішингового листа, щоб поставити під загрозу всю систему.