Humanity Protocol Private-Key-Kompromittierung

Am 9. Juni 2026 wurde Humanity Protocol — ein Projekt für dezentrale Identität, das Handvenen-Biometrie und Zero-Knowledge-Beweise für die „Proof of Humanity"-Verifizierung nutzt — um etwa 32 Millionen US-Dollar erleichtert, nachdem private Schlüssel eines Mitglieds der Humanity Foundation kompromittiert worden waren. Der Angreifer leerte mindestens 17 Wallets und prägte 100 Millionen neue H-Token auf BNB Chain, wodurch der $H-Kurs binnen Stunden um fast 90 % einbrach.

Was geschah

Das Team führte den Vorfall auf eine Private-Key-Kompromittierung zurück, nicht auf einen Smart-Contract-Fehler. Laut On-Chain-Analysten leerte der Angreifer die betroffenen Wallets und eskalierte dann, indem er den Proxy-Admin des H-Tokens auf BNB Chain übernahm und zusätzliche 100.000.000 H (zum damaligen Zeitpunkt etwa 12,9 Millionen US-Dollar wert) in eine neu erstellte Wallet prägte. Die Erlöse wurden rasch liquidiert: Rund 23,7 Millionen US-Dollar wurden in ETH getauscht, während etwa 7,9 Millionen US-Dollar in H verblieben und der anhaltende Verkaufsdruck den Token von rund 0,72 auf etwa 0,10 US-Dollar drückte. Die Signatur der Kontrolle über die Prägebefugnis erinnert an die Vorfälle bei TesseraDAO und Ankr / Helio, bei denen kompromittierte privilegierte Schlüssel es einem Angreifer erlaubten, Token schneller zu drucken und abzustoßen, als die Verteidiger reagieren konnten.

Folgen

Humanity Protocol bestätigte den Vorfall öffentlich und erklärte, man ermittle — der Angriff fiel nur wenige Wochen vor ein geplantes Token-Unlock am 25. Juni. Unmittelbar danach waren keine Mittel zurückerlangt worden. Bemerkenswert ist, dass der On-Chain-Ermittler ZachXBT die offizielle Erklärung anzweifelte, das Ereignis als „möglicherweise inszeniert" bezeichnete und nahelegte, es könne sich eher um einen geplanten Ausstieg unter Beteiligung des Teams oder eines verbundenen Market Makers handeln als um einen externen Angriff — unter Verweis auf die Konzentration des Angebots und das Abstoßen über DEX. Zum Zeitpunkt der Berichterstattung war nicht abschließend geklärt, ob der Verlust aus einer externen Kompromittierung oder einer Insider-Operation stammte.

In einem nachgereichten Post-Mortem führte Humanity Protocol die Ursache auf einen kompromittierten Mitarbeiter-Laptop zurück, der genug aktive Schlüssel enthielt, um die Multisig-Schwellen auf beiden seiner Hyperlane-Bridges zu überschreiten. Auf Ethereum wurden drei von sechs Gnosis-Safe-Eignern, die den ProxyAdmin der Bridge kontrollierten, kompromittiert; der Angreifer übertrug die ProxyAdmin-Eignerschaft, rüstete die Bridge auf eine bösartige Implementierung um und bewegte rund 141,2 Millionen H in einer einzigen Transaktion. Auf BNB Chain wurden drei von fünf Safe-Eignern kompromittiert, was einen bösartigen Vertrag mit einer unbegrenzten Mint-Funktion ermöglichte, der etwa 200 Millionen H über zwei Transaktionen erzeugte — mehr als die anfangs gemeldeten 100 Millionen. Das Team bezifferte den Gesamtverlust auf über 36 Millionen US-Dollar, stoppte die Bridge-Aktivität und erklärte, man arbeite mit Börsen und Strafverfolgungsbehörden zusammen und werde ein vollständiges Post-Mortem nachreichen.

Eine anschließende unabhängige Untersuchung der Sicherheitsfirma Quantstamp führte den Einstiegspunkt auf eine gezielte Spear-Phishing-E-Mail zurück, die die südkoreanische Börse Bithumb imitierte und an einen Humanity-Direktor gesendet wurde, mit dem der imitierte Kontakt zuvor korrespondiert hatte. Ein bösartiger Anhang installierte Remote-Access-Malware, die dem Angreifer die volle Remote-Desktop-Kontrolle verschaffte und dabei die Endpoint-Abwehr umging, sodass die im On-Chain-Angriff verwendeten Admin-Schlüssel extrahiert werden konnten. Quantstamp berichtete, dass die Malware-Werkzeuge und Zertifikatssignaturmuster charakteristisch für DPRK-nahe Eindringversuche seien — im Einklang mit Lazarus-artiger Vorgehensweise —, verzichtete aber auf eine endgültige Zuordnung. Humanity erklärte, die Ethereum-Bereitstellung wieder abgesichert zu haben, während die kompromittierte BNB-Chain-Version von $H dauerhaft aufgegeben werde.

Am 16. Juni veröffentlichte Humanity Protocol seinen Sanierungsplan: Ein neues ERC-20-$H-Token soll 1:1 an die Halter per Airdrop verteilt werden, basierend auf Snapshots, die kurz vor dem Exploit am 8. Juni erstellt wurden (Ethereum-Block 25.274.179, BNB-Chain-Block 103.071.069 und Humanity-Mainnet-Block 24.247.803), begleitet von einem Kopfgeld von 1 Million US-Dollar für Hinweise zur Wiedererlangung sowie der Zusage, etwaige zurückerlangte Mittel in Buybacks zu lenken. Das Team stellte die Token-Migration, ein Entschädigungsrahmenwerk und einen geplanten Netzwerk-Relaunch als seinen primären Weg zur Wiederherstellung der Nutzerguthaben dar. Die ursprünglich gestohlenen Mittel blieben unwiederbringlich, sodass die Halter eher durch eine Neuausgabe als durch Rückholung entschädigt werden.

Am 21. Juni berichtete die On-Chain-Analysefirma Lookonchain, dass der Angreifer in eine aktive Auscash-Phase eingetreten sei: Tranchen der Beute wurden über Uniswap und PancakeSwap geleitet, ein Teil in USDC umgewandelt und die USDC bei KuCoin eingezahlt. Zu den verfolgten Bewegungen gehörten wiederholte 10–50-ETH-Transfers und ein einzelner ~500-ETH-Transfer aus Wallets mit der Bezeichnung „Humanity Protocol Expl.". Die Geldwäsche über eine zentralisierte Börse bietet einen möglichen Interventionspunkt, doch wie beim Großteil der gestohlenen Mittel war zum Zeitpunkt der Berichterstattung nichts eingefroren oder zurückgegeben worden.

Anschließend nahm Humanity Protocol sein Wiederherstellungsprogramm in Betrieb unter claim.humanity.org und stellte ein Ersatz-ERC-20-$H-Token unter dem Vertrag 0xE76c5b78f93909d34404E9eb4C1f19e7582a5dE1 bereit. Die im Pre-Exploit-Snapshot (17:25:35 UTC am 8. Juni) erfassten Guthaben werden 1:1 anerkannt: berechtigte Externally-Owned-Accounts auf Ethereum, BNB Chain und Humanity Mainnet erhalten das neue Token direkt, während in Liquiditätspools, Vaults oder anderen Verträgen gebundenes H über ein manuelles Prüf- und Entschädigungsverfahren beansprucht werden muss, statt automatisch per Airdrop verteilt zu werden. Das neu ausgegebene Token soll zum Gas-Asset des Netzwerks werden, sobald das Humanity Mainnet neu startet. Die Migration bleibt eine Neuausgabe, keine Rückholung — die ursprünglich gestohlenen Mittel sind weiterhin nicht zurückerlangt.

Warum es wichtig ist

Der Fall Humanity Protocol bekräftigt ein wiederkehrendes Thema des Katalogs: Die Prägebefugnis und die Proxy-Admin-Schlüssel eines Tokens sind sein gefährlichstes Privileg, und keine noch so gut auditierte Vertragslogik schützt die Halter, sobald diese Schlüssel in feindliche Hände geraten. Er verdeutlicht auch die Schwierigkeit der Zuordnung bei Vorfällen mit privilegierten Schlüsseln: Wenn dieselben Schlüssel ein Protokoll sowohl legitim betreiben als auch leerräumen können, lässt sich die Grenze zwischen einem externen Private-Key-Diebstahl und einem Insider-Ausstieg allein aus On-Chain-Daten oft nur schwer ziehen — die Halter bleiben unabhängig von der Absicht exponiert.