ह्यूमैनिटी प्रोटोकॉल ने एक मैलवेयर-संक्रमित डेवलपर मशीन की पहचान सुरक्षा उल्लंघन के स्रोत के रूप में की है, जिसके कारण एथेरियम और बीएनबी स्मार्ट चेन पर लगभग 447 मिलियन H टोकन की चोरी और अनधिकृत मिंटिंग हुई।

ह्यूमैनिटी प्रोटोकॉल की घटना रिपोर्ट के अनुसार, एक हमलावर ने एक डेवलपर डिवाइस तक रूट एक्सेस प्राप्त कर लिया और सात निजी कुंजियाँ प्राप्त कीं, जिनका परियोजना के जून 2025 के मेननेट लॉन्च के दौरान अनजाने में बैकअप लिया गया था। 

कुंजियों में एडमिन हॉट वॉलेट कुंजी, तीन एथेरियम सेफ ओनर कुंजियाँ और तीन बीएससी सेफ ओनर कुंजियाँ शामिल थीं, जिससे हमलावर को एक ही समझौता की गई मशीन से महत्वपूर्ण बुनियादी ढांचे तक पहुंच मिल गई।

इन निष्कर्षों से एक ऐसे हमले के बारे में नए विवरण सामने आए हैं, जिसके कारण पहले H में तेजी से गिरावट आई थी, जिसके बाद आंशिक रिकवरी हुई। 10 जून को, यह टोकन $0.163 के करीब कारोबार कर रहा था, जो 24 घंटों में 23.7% ऊपर था, हालांकि शोषण के बाद पिछले सप्ताह की तुलना में यह 74.1% नीचे रहा।

ह्यूमैनिटी प्रोटोकॉल ने कहा कि यह घटना उसके ब्रिज कॉन्ट्रैक्ट्स, टोकन कॉन्ट्रैक्ट्स या सेफ आर्किटेक्चर में किसी खामी के कारण नहीं हुई थी। इसके बजाय, हमलावर ने क्रेडेंशियल्स पर नियंत्रण प्राप्त करने के बाद स्थानांतरण, सेफ लेनदेन और कॉन्ट्रैक्ट अपग्रेड को अधिकृत करने के लिए वैध निजी कुंजियों का उपयोग किया।

हमलावर ने ब्रिज नियंत्रण पर कब्जा करने के लिए चुराई गई कुंजियों का उपयोग किया

रिपोर्ट के आधार पर, यह हमला 8 जून और 9 जून के बीच तीन अलग-अलग कार्रवाइयों में सामने आया।

पहली लहर के दौरान, एक एथेरियम एडमिन हॉट वॉलेट से 6.04 मिलियन H निकाल लिए गए, जब उसकी निजी कुंजी से समझौता किया गया था। वहां से, हमलावर ने प्रोटोकॉल के ब्रिज इंफ्रास्ट्रक्चर के खिलाफ कार्रवाई की।

छह-सदस्यीय एथेरियम सेफ से तीन चुराई गई कुंजियों का उपयोग करते हुए, हमलावर ने ब्रिज प्रॉक्सीएडमिन का स्वामित्व एक हमलावर-नियंत्रित वॉलेट में स्थानांतरित कर दिया। प्रशासनिक नियंत्रण प्राप्त करने के बाद, हमलावर ने ब्रिज को एक दुर्भावनापूर्ण कार्यान्वयन में अपग्रेड कर दिया और एक ही लेनदेन में 141.18 मिलियन H निकाल लिए।

ह्यूमैनिटी प्रोटोकॉल ने कहा कि इस लेनदेन में सेफ की थ्रेशोल्ड आवश्यकताओं को पूरा करने के लिए आवश्यक हस्ताक्षर थे, जिससे अपग्रेड एक स्मार्ट कॉन्ट्रैक्ट के शोषण के बजाय एक अधिकृत कार्रवाई के रूप में दिखाई दिया।

बीएनबी स्मार्ट चेन पर, तीन समझौता की गई सेफ कुंजियों के एक अलग सेट ने हमलावर को टोकन के प्रॉक्सीएडमिन का नियंत्रण दे दिया। एक दुर्भावनापूर्ण कार्यान्वयन को तैनात करने के बाद, हमलावर ने प्रत्येक 100 मिलियन H के तीन मिंट लेनदेन निष्पादित किए, जिससे टोकन की आपूर्ति लगभग 141.1 मिलियन से बढ़कर 441.1 मिलियन H हो गई।

जांच समझौता के एक बिंदु की ओर इशारा करती है

जबकि एथेरियम ब्रिज की संपत्ति निकाली गई थी, रिपोर्ट में बीएससी टोकन को अपुनर्प्राप्य बताया गया है क्योंकि हमलावर अभी भी प्रॉक्सीएडमिन को नियंत्रित करता है और अतिरिक्त टोकन मिंट करना जारी रख सकता है। ह्यूमैनिटी प्रोटोकॉल ने कहा कि हमलावर इस घटना से प्रभावित ब्रिज और टोकन प्रशासन कॉन्ट्रैक्ट्स दोनों का स्वामित्व बरकरार रखता है।

परियोजना के पहले के खुलासे समझौता किए गए कर्मचारी उपकरणों और चुराई गई सेफ कुंजियों पर केंद्रित थे। नवीनतम फोरेंसिक निष्कर्षों ने कारण को एक मैलवेयर-संक्रमित डेवलपर मशीन तक सीमित कर दिया, जिसने कई संवेदनशील बैकअप संग्रहीत किए थे। रिपोर्ट के अनुसार, जांचकर्ताओं का मानना है कि सभी सात निजी कुंजियाँ उसी एक डिवाइस से प्राप्त की गई थीं।

कई सवालों के जवाब अभी भी नहीं मिले हैं। ह्यूमैनिटी प्रोटोकॉल ने कहा कि उसने अभी तक यह निर्धारित नहीं किया है कि हमलावर ने पहली बार कब एक्सेस प्राप्त किया, मशीन से कैसे समझौता किया गया, या हमला करने से पहले चुराए गए क्रेडेंशियल कब तक रखे गए थे।

इस घटना के जवाब में, परियोजना ने प्रभावित ब्रिजों के माध्यम से जमा और निकासी रोक दी, एक सार्वजनिक रिकवरी ट्रैकर लॉन्च किया, और संपत्ति की वसूली की जानकारी के लिए $1 मिलियन यूएसडीटी का इनाम दिया। ह्यूमैनिटी प्रोटोकॉल ने पहले कहा था कि कोई भी पुनर्प्राप्त किया गया धन H टोकन वापस खरीदने के लिए इस्तेमाल किया जाएगा।