Взлом Humanity: как украли $36 миллионов из-за уязвимого ноутбука

Проект Humanity Protocol раскрыл детали инцидента, в результате которого злоумышленники похитили более $36 миллионов в токенах H. Причиной утечки стала серьезная ошибка в обеспечении безопасности ключей. По информации, предоставленной CoinDesk, инцидент начался с того, что был скомпрометирован ноутбук одного из сотрудников. На этом устройстве находились несколько ключей, управляющих мостами токенов проекта, которые позволяют перемещать H и другие токены между блокчейнами.

Эти мосты использовали мультиподписные кошельки, которые требуют наличия нескольких отдельных ключей для одобрения любых изменений. Мультиподписной кошелек должен распределять ключи среди разных людей и устройств, чтобы ни одна машина не могла перемещать средства. Однако в данном случае все ключи хранились на одном устройстве, что позволило злоумышленнику преодолеть порог согласия на обеих цепях, пояснили в Humanity.

Злоумышленник получил три из шести ключей, контролирующих администраторскую учетную запись моста на Ethereum, что дало ему возможность захватить контроль над развертыванием проекта в сети. Затем он перенес собственность на свой кошелек, заменил код моста на вредоносную версию и одним транзакцией вывел около 141 миллиона H.

В сообщении в Telegram, отправленном CoinDesk, основатель Humanity Терренс Квок отметил, что команда действительно создала мультиподписной кошелек, распределив ключи между четырьмя участниками, как и должно было быть. Humanity подозревает, что “некоторые ключи были случайно скопированы на скомпрометированное устройство во время настройки”. “Мы используем лицензированного хранителя для большинства токенов казначейства, mpc для операционного казначейства, и для определенных контрактов ключи мультиподписей были настроены в одном месте, а затем распределены”, – добавил он. “К сожалению, в этом случае ключи были скопированы на скомпрометированное устройство”.

Злоумышленник повторил аналогичные шаги на BNB Chain, используя три из пяти ключей. На этот раз он установил код с функцией неограниченного создания токенов, что позволило ему создавать токены по своему усмотрению, и он выпустил около 200 миллионов новых H прямо на свой кошелек.

После инцидента проект Humanity убрал страницу команды с своего сайта. Они приостановили депозиты и вывод средств на затронутых мостах и работают с биржами и полицией для возврата средств. В прошлом году Humanity привлек $20 миллионов от Pantera Capital и Jump Crypto при оценке $1,1 миллиарда.

Зак ЗБТ, известный исследователь onchain, отметил, что компрометация ключей и отдельный раунд подозрительного рыночного создания ликвидности токена не были связаны. Он также поднял вопросы о том, как токен торговался за несколько недель до взлома, когда цена H выросла с 20 центов до 70 центов за две недели. Токен смог частично восстановить свои позиции. После падения до примерно 5 центов во время атаки он вернулся к уровню около 20 центов, по данным CoinGecko. Тем не менее, он все еще значительно ниже уровня перед взломом, который составлял примерно 67 центов.