Humanity Protocol Private-Key-Kompromittierung

Am 9. Juni 2026 wurde Humanity Protocol — ein Projekt für dezentrale Identität, das Handvenen-Biometrie und Zero-Knowledge-Beweise für die „Proof of Humanity"-Verifizierung nutzt — um etwa 32 Millionen US-Dollar erleichtert, nachdem private Schlüssel eines Mitglieds der Humanity Foundation kompromittiert worden waren. Der Angreifer leerte mindestens 17 Wallets und prägte 100 Millionen neue H-Token auf BNB Chain, wodurch der $H-Kurs binnen Stunden um fast 90 % einbrach.

Was geschah

Das Team führte den Vorfall auf eine Private-Key-Kompromittierung zurück, nicht auf einen Smart-Contract-Fehler. Laut On-Chain-Analysten leerte der Angreifer die betroffenen Wallets und eskalierte dann, indem er den Proxy-Admin des H-Tokens auf BNB Chain übernahm und zusätzliche 100.000.000 H (zum damaligen Zeitpunkt etwa 12,9 Millionen US-Dollar wert) in eine neu erstellte Wallet prägte. Die Erlöse wurden rasch liquidiert: Rund 23,7 Millionen US-Dollar wurden in ETH getauscht, während etwa 7,9 Millionen US-Dollar in H verblieben und der anhaltende Verkaufsdruck den Token von rund 0,72 auf etwa 0,10 US-Dollar drückte. Die Signatur der Kontrolle über die Prägebefugnis erinnert an die Vorfälle bei TesseraDAO und Ankr / Helio, bei denen kompromittierte privilegierte Schlüssel es einem Angreifer erlaubten, Token schneller zu drucken und abzustoßen, als die Verteidiger reagieren konnten.

Folgen

Humanity Protocol bestätigte den Vorfall öffentlich und erklärte, man ermittle — der Angriff fiel nur wenige Wochen vor ein geplantes Token-Unlock am 25. Juni. Unmittelbar danach waren keine Mittel zurückerlangt worden. Bemerkenswert ist, dass der On-Chain-Ermittler ZachXBT die offizielle Erklärung anzweifelte, das Ereignis als „möglicherweise inszeniert" bezeichnete und nahelegte, es könne sich eher um einen geplanten Ausstieg unter Beteiligung des Teams oder eines verbundenen Market Makers handeln als um einen externen Angriff — unter Verweis auf die Konzentration des Angebots und das Abstoßen über DEX. Zum Zeitpunkt der Berichterstattung war nicht abschließend geklärt, ob der Verlust aus einer externen Kompromittierung oder einer Insider-Operation stammte.

Warum es wichtig ist

Der Fall Humanity Protocol bekräftigt ein wiederkehrendes Thema des Katalogs: Die Prägebefugnis und die Proxy-Admin-Schlüssel eines Tokens sind sein gefährlichstes Privileg, und keine noch so gut auditierte Vertragslogik schützt die Halter, sobald diese Schlüssel in feindliche Hände geraten. Er verdeutlicht auch die Schwierigkeit der Zuordnung bei Vorfällen mit privilegierten Schlüsseln: Wenn dieselben Schlüssel ein Protokoll sowohl legitim betreiben als auch leerräumen können, lässt sich die Grenze zwischen einem externen Private-Key-Diebstahl und einem Insider-Ausstieg allein aus On-Chain-Daten oft nur schwer ziehen — die Halter bleiben unabhängig von der Absicht exponiert.