Що сталося
8 червня протокол цифрової ідентичності Humanity Protocol втратив понад $36 млн у токенах H: зловмисник перехопив контроль над мостами проєкту одразу в двох мережах — Ethereum і BNB Chain. Причиною став не злам смартконтракту, а скомпрометований ноутбук співробітника, на якому зберігалося надто багато ключів мультипідпису.
Деталі
За даними CoinDesk і Decrypt, ноутбук містив 3 із 6 ключів адміністратора мосту в Ethereum і 3 із 5 — у BNB Chain. Цього вистачило, щоб у обох мережах переступити поріг мультипідпису, хоча сама схема мультисигу має розносити ключі між різними людьми та пристроями.
Далі зловмисник переписав власника мосту на свій гаманець, підмінив код мосту на шкідливий і однією транзакцією вивів близько 141 млн H в Ethereum, а в BNB Chain через функцію безлімітного випуску викарбував собі ще близько 200 млн нових токенів. Ціна H обвалилася з передзламних ~$0,67 до приблизно $0,05 на внутрішньоденному дні (понад −90%), потім відскочила до ~$0,20.
Засновник проєкту Теренс Квок заявив, що команда налаштовувала мультисиг на чотирьох осіб, але «частина ключів під час налаштування випадково збереглася на скомпрометованому пристрої». Проєкт зупинив введення й виведення на постраждалих мостах і працює з біржами та поліцією. Humanity Protocol підтримують фонди Pantera Capital і Jump Crypto — роком раніше він залучив $20 млн за оцінки $1,1 млрд.
Що це означає
Головний урок — гроші забрали не через діру в коді, а через базову помилку у зберіганні ключів. Мультипідпис захищає рівно настільки, наскільки ключі реально рознесені: щойно більшість із них опиняється на одному пристрої, схема перетворюється на звичайний одиночний гаманець. Це повторюваний сценарій 2026 року — найбільші втрати дедалі частіше приходять через компрометацію ключів і операційну безпеку команди, а не через експлойт контракту.
Окрема іронія: Humanity Protocol будує систему «доказу людяності» проти ботів і сивіл-атак — і сам став жертвою елементарної атаки на співробітника. Для користувача ризик адмін-ключів мосту невидимий, але реальний: він цілком залежить від дисципліни команди. Перш ніж тримати кошти в мостових або стейкінгових контрактах невеликого проєкту, варто дивитися, хто і як керує ключами, — апаратна ізоляція й реальний розподіл підписантів важливіші за гучні імена інвесторів.
