Хищение токенов Humanity на $36 млн могла начаться не с нападения на смарт-договор, а с обыденного письма. По мнению Quantstamp, преступники употребляли поддельное сообщение от имени южнокорейской биржи Bithumb и выслали работнику вредный файл.
После открытия вложения атакующие получили удаленный доступ к рабочему ноутбуку. Далее сценарий стал критичным для проекта: с устройства были скопированы данные кошелька MetaMask и приватные ключи, что дало возможность вывести активы.
Приманкой стал график наложенного блока токенов
Письмо смотрелось как служебное обновление в соответствии с графиком наложенного блока токенов. Для криптокомпании такая тема не смотрится подозрительно, в особенности если сообщение оформлено от имени популярной биржи.
Конкретно это сделало атаку небезопасной. Преступники избрали не случайную приманку, а контекст, который мог быть понятен работникам проекта и связан с их обыкновенной работой.
По данным Quantstamp, вложение установило вредоносную программку. Она открыла полный удаленный доступ к ноутбуку, после этого атакующие сумели получить чувствительные данные руководителя Humanity Protocol Чонга Йи Вая.
Неувязкой стали не договоры, а ключи
В данной истории основное уязвимое место оказалось вне блокчейна. Если приватные ключи попадают к злодею, сеть принимает следующие операции как обыденные операции обладателя кошелька.
Для криптопроектов это один из самых плохих сценариев. Аудит смарт-договоров может не посодействовать, если доступ к активам хранится на устройстве, которое можно заразить через фишинговое письмо.
Потому атака указывает больше широкий риск. Без твердого управления ключами, изоляции рабочих устройств и многоуровневого доказательства операций даже большой проект может утратить ликвидные активы через один дискредитированный ноутбук.
Следы указали на северокорейский почерк
Quantstamp раздельно отметила техно деталь: вредная программа была подписана цифровым сертификатом южнокорейской Hancom. По расчетам компании, этот прием характерен для нападений, которые до этого связывали с группами из Северной Кореи.
Это не значит автоматического подтверждения в суде. Однако для расследований в информационной безопасности умеют большое значение повторяющиеся признаки: метод доставки файла, маскировка под знакомую компанию, внедрение законно выглядящих сертификатов и предстоящая работа с ключами.
В случае Humanity такая связка смотрится демонстративной. Преступники употребляли тему, связанную с токенами, южнокорейскую биржу как прикрытие и инструмент, который был должен смотреться наименее подозрительно для системы защиты.
Северокорейские группы опять в центре внимания
Если версия Quantstamp подтвердится, происшествие пополнит перечень больших криптокраж, связывающ?? с Северной Кореей. По данным источника, в апреле связанные с данным государством группы были бы имеет отношение по меньшей мере к $578 млн из $634 млн вреда по криптоинцидентам.
CertiK до этого оценивала масштаб еще выше. В майском отчете компания сообщала, что такие группы связывали приблизительно с $2 миллиардов из $3,4 миллиардов утрат от криптоэксплойтов в 2025 году. При всем этом на них приходилось около двенадцати процентов всех происшествий.
Подобное соотношение принципиально. Идет речь не о большом числе маленьких нападений, а о сравнимо маленький доле происшествий с большим вредом. Это показывает на точечные операции, длительную подготовку и выбор задач, где можно стремительно получить крупную сумму.
Криптокражи стали некоторой системой
По расчетам CertiK, за прошедший десяток лет связанные с Северной Кореей структуры могли похитить около $6,75 миллиардов в цифровой валюте. В документах упоминаются 263 документально зафиксированных происшествия.
Компания думает, что подобные операции перевоплотился для режима в один из устройств наружного выделения финансовых средств. Это уже не смотрится как набор разрозненных взломов. Быстрее идет речь о неизменной комплексу инфраструктурных объектов, работающ?? против бирж, протоколов, служащих и поставщиков услуг.
Для промышленности это меняет подход к безопасности. Угроза приходит не только из кода. Она может начинаться с почты, собеседования, поддельного документа, липового обновления либо зараженного файла.
Человечий фактор остается основным входом
Случай Humanity указывает, почему интернет-мошенничество так небезопасен для рынка криптовалют. Атакующим не постоянно необходимо находить трудную ошибку в протоколе. Время от времени довольно уверить 1-го человека открыть файл.
Если данный человек имеет доступ к кошелькам, внутренним системам либо ключам, вред быть может моментальным. В классическом бизнесе зараженный ноутбук нередко значит утечку данных. В криптоиндустрии это может означать прямую утрату токенов, которые после перевода практически нереально возвратить.
Потому проекты обязаны усиливать не только аудит кода, да и операционную безопасность. Необходимы некоторые устройства для подписания операций, запрет хранения ключей на рабочих ноутбуках, многофакторные процедуры и ограничения доступа даже для управляющих.
КНДР отрицает причастность
Пхеньян обычно опровергает отношение к хакерским атакам. 3 мая сотрудник Министерства иностранных дел КНДР через государственное агентство KCNA сообщил, что обвинения от Соединенных Штатов строятся на неправильных утверждениях о будто бы нереальной киберугрозе.
Подобные обращения не останавливают расследования блокчейн-специалистов. Компании безопасности продолжают выслеживать технические признаки, движение средств и повторяющиеся схемы нападений.
Для рынка принципиальна эта самая практическая часть. Политические опровержения не меняют того факта, что криптопроекты все почаще сталкиваются с отлично приготовленными операциями, где интернет-мошенничество смешивается с резвым выводом активов.
Humanity необходимо вернуть доверие
Для Humanity Protocol вред не ограничивается $36 млн. Проект трудится в сфере децентрализованной идентичности, где безопасность и доверие имеют особенное значение.
После этот атаки пользователи и партнеры будут ожидать ответа на несколько вопросов. Где хранились ключи, почему их можно было получить с рабочего устройства, какие доступы были у работника и какие ограничения покажутся после происшествия.
Рынку также принципиально осознать, будут ли предприняты шаги по возмещения, мониторингу похищенных средств и усилению внутренних процедур. Без этого взлом остается не только денежной потерей, да и репутационным ударом.
Что далее?
Humanity Protocol необходимо опубликовать понятный отчет о взломе и мерах после происшествия. В особенности умеют большое значение перемены в управлении ключами, проверке почтовых вложений и доступе служащих к кошелькам.
Для всей промышленности данный случай стал еще одним напоминанием: безопасность криптопроекта не завершается аудитом смарт-договоров. Если ключи можно похитить через ноутбук, защита протокола остается неполной.
Основной вывод обычный. Нападение на Humanity продемонстрировала, что интернет-мошенничество и компрометация служащих остаются среди наиболее небезопасных сценариев для рынка криптовалют. Если северокорейский след подтвердится, это будет очередной пример точечной операции, где отлично приготовленная группа получила доступ к активам через человечий фактор.