Token asli Humanity Protocol, H, ambruk lebih dari 80% pada hari Selasa setelah penyerang menyusupi kunci privat yang terkait dengan proyek, merebut kendali admin bridge, dan mencuri lebih dari $36 juta di seluruh Ethereum dan BNB Chain.

Dalam sebuah thread rinci, Humanity Protocol mengatakan serangan hari Senin dikoordinasikan di Ethereum dan BSC dan ditelusuri ke pelanggaran yang terjadi "setelah laptop seorang karyawan disusupi."

Pelanggaran Humanity ini memperpanjang salah satu periode terburuk yang pernah tercatat untuk keamanan DeFi, dengan lebih dari $885 juta hilang karena peretasan DeFi dalam enam bulan pertama tahun 2026, menurut data DeFiLlama.

Penyerang menyusupi tiga dari enam kunci Gnosis Safe di Ethereum dan tiga dari lima di BSC, merebut kendali ProxyAdmin, menguras sekitar 141,2 juta H, dan mencetak 200.000.005 H lainnya melalui pembaruan kontrak berbahaya, menurut proyek tersebut.

Token H proyek tersebut anjlok dari tertinggi $0,73132 pada hari Senin menjadi terendah $0,079606 pada Selasa pagi, menurut data CoinGecko, penurunan sebesar 89%. H saat ini diperdagangkan mendekati $0,20, turun 73% pada hari itu, menghapus sebagian besar reli yang telah mendorong token mendekati harga tertinggi sepanjang masa sebesar $0,80 hanya seminggu sebelumnya.

Pendiri Terence Kwok mengonfirmasi pelanggaran tersebut dan meminta pengguna untuk menjauhi infrastruktur proyek.

Humanity Protocol adalah blockchain Layer-2 zero-knowledge yang berfokus pada identitas terdesentralisasi, didirikan oleh Kwok dan dibangun di sekitar sistem "Proof of Humanity" yang memverifikasi pengguna melalui pemindaian telapak tangan daripada pengenalan iris atau wajah.

Pelanggaran ini adalah kemunduran terbaru bagi Kwok, yang usaha sebelumnya, startup teknologi perhotelan Tink Labs, mengumpulkan sekitar $160 juta dan menjadi salah satu unicorn pertama di Hong Kong sebelum tutup pada tahun 2019 di tengah masalah keuangan.

Tim Humanity Protocol mengatakan telah menghentikan deposit dan penarikan ke bridge yang terpengaruh dan sedang bekerja dengan bursa dan polisi untuk memulihkan dana.

"Orang-orang di komunitas ini bekerja keras untuk apa yang mereka pegang di sini, dan kami merasakan bebannya," kata proyek tersebut, menjanjikan post-mortem.

"Kegagalan keamanan operasional"

Meir Dolev, salah satu pendiri dan CTO di platform keamanan blockchain Cyvers, mengatakan kepada Decrypt bahwa insiden tersebut adalah "kegagalan keamanan operasional, bukan bug kontrak pintar," dengan penyerang mendapatkan akses admin melalui kunci privat yang terkait dengan anggota Humanity Foundation.

Setelah pembaruan kontrak, Dolev mengatakan penyerang menyalahgunakan fungsi mint untuk menciptakan 100 juta H baru, senilai sekitar $12,9 juta, kemudian menukarkan token yang dicuri dan dicetak dengan ETH dan BNB sebelum mengonsolidasikannya di beberapa dompet.

Dolev mencatat bahwa menguras sekitar $30 juta "membutuhkan kendali tingkat pemilik/admin yang mampu meningkatkan pasokan token melalui pembaruan kontrak proxy dan menguras dompet yang dikendalikan protokol secara langsung."

“Kegagalan intinya bersifat struktural: satu kunci dipercaya dengan dana dan kekuatan untuk menulis ulang aturan,” katanya.

Ia membaca peringatan Kwok untuk menghindari bridge dan pool sebagai tanda bahwa akses "mungkin belum sepenuhnya terkendali."

Penyerang masih memegang sejumlah besar H tetapi tidak dapat sepenuhnya mencairkan karena likuiditas pool terlalu tipis untuk menyerap pertukaran, kata Dolev, membuat peringatan publik "sebagian merupakan upaya untuk menjaga likuiditas tersebut agar tidak tersentuh."

Humanity Protocol dijadwalkan untuk membuka kunci 266,5 juta H, sekitar 9,4% dari pasokan yang dirilis, senilai sekitar $33 juta pada harga pra-kejatuhan, pada 25 Juni, di enam alokasi, menurut data Tokenomist.

Penyelidik on-chain ZachXBT awalnya menandai kejadian itu sebagai "mungkin direncanakan," menunjukkan bahwa itu menawarkan jalan keluar yang nyaman bagi market maker aktif.

Ia kemudian menarik kembali pernyataan tersebut, men-tweet bahwa, "Setelah analisis lebih lanjut tentang pencucian, tampaknya MM / OTC yang mencurigakan & kompromi kunci privat independen satu sama lain dan tidak terkait."

Dolev memperingatkan bahwa bukti on-chain sejauh ini masih campur aduk, karena penyerang memegang hak admin yang sah bagaimanapun juga. Di mana dana tersebut akan berakhir dalam beberapa hari mendatang, dan apakah kunci yang disusupi tidak aktif sebelumnya, katanya, "akan menjadi faktor penentu."