Eksploitasi senilai $36 juta yang melibatkan umat manusia terkait dengan laptop yang disusupi yang menyimpan dompet 'multisig'

Humanity Protocol menjelaskan bagaimana para penyerang berhasil mencuri lebih dari $36 juta dalam bentuk token H miliknya, dan penyebabnya adalah kelalaian serius dalam mengamankan kunci-kuncinya.

Dalam pembaruan insiden yang dibagikan kepada CoinDesk, proyek identitas terdesentralisasi tersebut menyatakan bahwa pelanggaran dimulai ketika laptop seorang karyawan dikompromikan. Mesin tersebut menyimpan beberapa kunci yang mengendalikan jembatan token proyek, yaitu alat yang memindahkan H (dan token lainnya) antar blockchain.

Jembatan tersebut berjalan melalui dompet multisignature, yang memerlukan sejumlah kunci terpisah untuk menyetujui setiap perubahan. Dompet multisignature seharusnya menyebarkan kunci di antara berbagai orang dan perangkat sehingga tidak ada satu mesin pun yang dapat memindahkan dana.

Dalam hal ini, semua kunci disimpan pada satu perangkat, yang berarti kompromi memungkinkan penyerang melewati ambang persetujuan di kedua rantai, kata Humanity.

Penyerang berhasil memperoleh tiga dari enam kunci yang mengendalikan akun admin jembatan di Ethereum, cukup untuk mengambil alih kontrol yang terkait dengan peluncuran proyek di jaringan.

Pelaku serangan kemudian mentransfer kepemilikan ke dompet mereka sendiri, menukar kode jembatan dengan versi yang berbahaya, dan menguras sekitar 141 juta H dalam satu transaksi.

Dalam sebuah pesan Telegram kepada CoinDesk, pendiri Humanity Terence Kwok mengatakan bahwa tim telah mengatur dompet multisig yang melibatkan empat individu (sebagaimana seharusnya).

Manusia menduga bahwa "beberapa kunci secara tidak sengaja dicadangkan ke perangkat yang telah dikompromikan selama pengaturan," kata Kwok. "Kami menggunakan kustodian berlisensi untuk sebagian besar token treasury, MPC untuk treasury operasi, dan untuk kontrak tertentu kunci multisig diatur di satu tempat kemudian didistribusikan.

"Sayangnya dalam skenario ini, kunci-kunci tersebut dicadangkan pada perangkat yang telah dikompromikan," ujarnya.

Penyerang melakukan langkah serupa di BNB Chain dengan menggunakan tiga dari lima kunci. Kali ini, memasang kode dengan fungsi mint tanpa batas, yang memungkinkan pembuatan token sesuka hati, dan mencetak sekitar 200 juta token H baru langsung ke dompet mereka.

Kemanusiaan sejak menghapus halaman tim dari situs webnya. Proyek tersebut mengatakan telah menghentikan setoran dan penarikan pada jembatan yang terdampak dan sedang bekerja sama dengan bursa serta kepolisian untuk memulihkan dana.

Humanity mengumpulkan dana sebesar $20 juta dari Pantera Capital dan Jump Crypto tahun lalu dengan valuasi sebesar $1,1 miliar.

ZachXBT, seorang penyelidik onchain terkemuka, mengatakan bahwa kompromi pada kunci tersebut dan putaran tersendiri dari aktivitas pembuatan pasar yang mencurigakan pada token tersebut tidak saling terkait.

Dia juga mengajukan pertanyaan tentang bagaimana token diperdagangkan dalam beberapa minggu sebelum pelanggaran terjadi, menjelang pembukaan token besar yang dijadwalkan, saat harga token H melonjak dari 20 sen menjadi 70 sen dalam dua minggu.

Token tersebut telah berhasil merebut kembali sebagian dari kerugian yang dialami. Setelah turun hingga sekitar 5 sen selama serangan, token ini pulih kembali ke kisaran 20 sen, menurut data dari CoinGecko. Namun, nilai tersebut masih jauh di bawah level sebelum pelanggaran yang berada di sekitar 67 sen.