Нативний токен Humanity Protocol, H, обвалився більш ніж на 80% у вівторок після того, як зловмисники скомпрометували приватні ключі, пов'язані з проєктом, захопили адміністративний контроль над мостом та викрали понад $36 мільйонів у мережах Ethereum та BNB Chain.

У детальному дописі Humanity Protocol повідомив, що атака в понеділок була скоординована в мережах Ethereum та BSC і була відстежена до злому, який стався "після компрометації ноутбука співробітника".

Злом Humanity продовжує один з найгірших періодів для безпеки DeFi за всю історію, з понад $885 мільйонами, втраченими в результаті DeFi-хаків за перші шість місяців 2026 року, згідно з даними DeFiLlama.

Зловмисники скомпрометували три з шести ключів Gnosis Safe в Ethereum і три з п'яти в BSC, захопивши контроль ProxyAdmin, вивівши близько 141,2 мільйона H та викарбувавши ще 200 000 005 H через зловмисні оновлення контрактів, за даними проєкту.

Токен H проєкту впав з пікових значень $0.73132 у понеділок до мінімуму у вівторок вранці $0.079606, згідно з даними CoinGecko, що становить падіння на 89%. Наразі H торгується близько $0.20, знизившись на 73% за день, що анулювало значну частину ралі, яке підштовхнуло токен майже до історичного максимуму в $0.80 лише тиждень тому.

Засновник Теренс Квок підтвердив злом і закликав користувачів триматися подалі від інфраструктури проєкту.

Humanity Protocol — це блокчейн другого рівня з нульовим розголошенням, орієнтований на децентралізовану ідентифікацію, заснований Квоком і побудований навколо системи "Proof of Humanity", яка перевіряє користувачів за допомогою сканування долоні, а не райдужної оболонки ока чи розпізнавання обличчя.

Цей злом є останньою невдачею для Квока, чиє попереднє підприємство, готельно-технологічний стартап Tink Labs, залучило близько $160 мільйонів і стало одним з перших єдинорогів Гонконгу, перш ніж закритися у 2019 році через фінансові проблеми.

Команда Humanity Protocol заявила, що призупинила депозити та виведення коштів на постраждалі мости та працює з біржами та поліцією для повернення коштів.

"Люди в цій спільноті наполегливо працювали заради того, що вони тут тримають, і ми відчуваємо вагу цього", — заявив проєкт, обіцяючи провести розбір після інциденту.

«Провал операційної безпеки»

Мейр Долев, співзасновник та технічний директор платформи безпеки блокчейнів Cyvers, повідомив Decrypt, що інцидент був "провалом операційної безпеки, а не багом смарт-контракту", при цьому зловмисник отримав адміністративний доступ через приватний ключ, пов'язаний з членом Humanity Foundation.

Після оновлення контракту, Долев повідомив, що зловмисник зловжив функцією карбування для створення 100 мільйонів нових H, вартістю близько $12,9 мільйона, а потім обміняв викрадені та викарбувані токени на ETH та BNB, перш ніж консолідувати їх на кількох гаманцях.

Долев зазначив, що виведення приблизно $30 мільйонів "вимагало контролю на рівні власника/адміністратора, здатного збільшити пропозицію токенів через оновлення проксі-контракту та безпосередньо вивести кошти з гаманців, контрольованих протоколом".

“Ключова невдача є структурною: один ключ, якому довірено як кошти, так і повноваження переписувати правила”, — сказав він.

Він інтерпретував попередження Квока уникати мосту та пулів як ознаку того, що доступ "можливо, не повністю обмежено".

Зловмисник все ще тримає великі обсяги H, але не може повністю їх вивести в готівку, оскільки ліквідність пулу занадто низька, щоб поглинути обміни, сказав Долев, що робить публічне попередження "частково спробою запобігти використанню цієї ліквідності".

Humanity Protocol має розблокувати 266,5 мільйона H, що становить близько 9,4% від випущеної пропозиції, вартістю приблизно $33 мільйони за цінами до обвалу, 25 червня, розподілених на шість алокацій, згідно з даними Tokenomist.

Ончейн-детектив ZachXBT спочатку назвав подію "можливо інсценованою", припускаючи, що це був зручний вихід для активного маркет-мейкера.

Пізніше він відмовився від цієї заяви, написавши у твіті, що "після подальшого аналізу відмивання коштів, схоже, що сумнівний MM / OTC та компрометація приватного ключа є незалежними один від одного і не пов'язані".

Долев попередив, що ончейн-докази поки що залишаються суперечливими, оскільки зловмисник у будь-якому випадку має законні адміністративні права. За його словами, "вирішальним фактором буде те, де осядуть кошти в найближчі дні, і чи був скомпрометований ключ неактивним раніше".