Ang katutubong token na H ng Humanity Protocol ay bumagsak ng higit sa 80% noong Martes matapos ikompromiso ng mga attacker ang mga pribadong key na konektado sa proyekto, kinuha ang kontrol ng admin ng tulay, at nagnakaw ng mahigit $36 milyon sa Ethereum at BNB Chain.

Sa isang detalyadong thread, sinabi ng Humanity Protocol na ang pag-atake noong Lunes ay koordinado sa Ethereum at BSC at natunton sa isang paglabag na naganap "matapos makompromiso ang laptop ng isang empleyado."

Ang paglabag sa Humanity ay nagpapahaba sa isa sa pinakamalalang yugto sa kasaysayan ng seguridad ng DeFi, na may mahigit $885 milyon na nawala sa mga DeFi hack sa unang anim na buwan ng 2026, ayon sa data ng DeFiLlama.

Kinumpromiso ng mga attacker ang tatlo sa anim na Gnosis Safe key sa Ethereum at tatlo sa lima sa BSC, kinuha ang kontrol ng ProxyAdmin, hinalian ang humigit-kumulang 141.2 milyong H, at nag-mint ng karagdagang 200,000,005 H sa pamamagitan ng mapanlinlang na pag-upgrade ng kontrata, ayon sa proyekto.

Ang H token ng proyekto ay bumagsak mula sa pinakamataas na $0.73132 noong Lunes patungo sa pinakamababa nitong $0.079606 noong Martes ng umaga, ayon sa data ng CoinGecko, isang pagbaba ng 89%. Kasalukuyang nakikipagkalakalan ang H malapit sa $0.20, bumaba ng 73% sa araw na iyon, na binubura ang malaking bahagi ng pagtaas na nagtulak sa token malapit sa all-time high nitong $0.80 isang linggo bago pa man.

Kinumpirma ng Tagapagtatag na si Terence Kwok ang paglabag at sinabihan ang mga user na lumayo sa imprastraktura ng proyekto.

Ang Humanity Protocol ay isang zero-knowledge Layer-2 blockchain na nakatuon sa desentralisadong pagkakakilanlan, na itinatag ni Kwok at binuo sa isang sistemang "Proof of Humanity" na nagbe-verify ng mga user sa pamamagitan ng palm scan sa halip na iris o facial recognition.

Ang paglabag ay ang pinakabagong pagkabigo para kay Kwok, na ang nakaraang venture, ang startup sa hospitality-tech na Tink Labs, ay nakalikom ng humigit-kumulang $160 milyon at naging isa sa mga unang unicorn ng Hong Kong bago nagsara noong 2019 sa gitna ng problema sa pananalapi.

Sinabi ng team ng Humanity Protocol na itinigil nila ang mga deposito at pag-withdraw sa mga apektadong tulay at nakikipagtulungan sa mga exchange at pulis upang mabawi ang mga pondo.

"Ang mga tao sa komunidad na ito ay nagtrabaho nang husto para sa kanilang hawak dito, at nararamdaman namin ang bigat niyon," sinabi ng proyekto, na nangangako ng isang post-mortem.

Isang "pagkabigo sa operational security"

Sinabi ni Meir Dolev, co-founder at CTO sa platform ng seguridad ng blockchain na Cyvers, sa Decrypt na ang insidente ay "isang pagkabigo sa operational security, hindi isang bug ng smart-contract," kung saan nakuha ng attacker ang admin access sa pamamagitan ng isang pribadong key na konektado sa isang miyembro ng Humanity Foundation.

Matapos ang pag-upgrade ng kontrata, sinabi ni Dolev na inabuso ng attacker ang function ng mint upang lumikha ng 100 milyong bagong H, na nagkakahalaga ng humigit-kumulang $12.9 milyon, pagkatapos ay ipinalit ang ninakaw at na-mint na mga token sa ETH at BNB bago pinagsama-sama sa iba't ibang wallet.

Binanggit ni Dolev na ang paghalian ng humigit-kumulang $30 milyon "ay nangailangan ng kontrol ng may-ari/admin na may kakayahang dagdagan ang supply ng token sa pamamagitan ng pag-upgrade ng proxy contract at direktang halian ang mga wallet na kinokontrol ng protocol."

“Ang pangunahing pagkabigo ay estruktural: isang key na pinagkakatiwalaan ng pondo at kapangyarihang muling isulat ang mga panuntunan,” aniya.

Binasa niya ang babala ni Kwok na iwasan ang tulay at mga pool bilang isang senyales na ang access "ay maaaring hindi ganap na nakapaloob."

Hawak pa rin ng attacker ang malaking halaga ng H ngunit hindi ganap na makapag-cash out dahil sobrang nipis ng liquidity ng pool para sumipsip ng mga swap, sabi ni Dolev, na ginagawang ang pampublikong alerto "bahagyang pagsisikap upang hindi galawin ang liquidity na iyon."

Inaasahang mag-a-unlock ang Humanity Protocol ng 266.5 milyong H, humigit-kumulang 9.4% ng inilabas na supply, na nagkakahalaga ng humigit-kumulang $33 milyon sa presyo bago bumagsak, sa Hunyo 25, sa anim na alokasyon, ayon sa data ng Tokenomist.

Ang on-chain imbestigador na si ZachXBT ay unang itinuring ang insidente na "posibleng pinlano," na nagmumungkahi na nag-aalok ito ng maginhawang paglabas para sa aktibong market maker.

Binawi niya kalaunan ang pahayag, na nag-tweet na, "Matapos ang karagdagang pagsusuri sa paglilinis ng pera, tila ang malabo na MM / OTC at pagkakakumpromiso ng pribadong key ay independyente sa isa't isa at hindi magkakaugnay."

Binalaan ni Dolev na ang ebidensya sa on-chain sa ngayon ay nananatiling halo-halo, dahil hawak ng attacker ang lehitimong mga karapatan ng admin sa anumang paraan. Kung saan man manirahan ang mga pondo sa mga darating na araw, at kung ang nakumpromisong key ay hindi aktibo bago pa man, aniya, "ang magiging pangunahing salik."