Un ataque de "phishing" contra Humanity Protocol compromete su despliegue en BNB Chain

Humanity Protocol atribuyó el ataque del 8 de junio contra el token $H a una campaña dirigida de "phishing" contra uno de sus directivos, que permitió el robo de claves privadas y dejó comprometido de forma permanente el despliegue del proyecto en BNB Chain. En una actualización publicada el 12 de junio, el equipo difundió las conclusiones de una investigación independiente realizada por Quantstamp. El informe sostiene que el atacante utilizó credenciales administrativas sustraídas para ejecutar actualizaciones de contratos, trasladó tokens entre Ethereum y después acuñó nuevos $H en BNB Smart Chain. Posteriormente, vendió los tokens en Uniswap y PancakeSwap durante unas ocho horas, lo que deterioró con fuerza la liquidez y provocó un desplome del precio de mercado. Correo falso de Bithumb como punto de entrada Según el proyecto, la intrusión se inició con un correo electrónico fraudulento que suplantaba al exchange Bithumb. El directivo afectado habría mantenido comunicaciones con Bithumb antes de recibir una supuesta actualización con un adjunto malicioso. Al abrirlo, se instaló malware de acceso remoto que otorgó control total de escritorio remoto sobre el equipo sin activar las protecciones de seguridad del endpoint. Con ese acceso, el atacante habría copiado datos de monederos y claves privadas almacenadas en el dispositivo, y a continuación ejecutó el ataque on-chain. Quantstamp indicó que las herramientas de malware y los patrones de firma de certificados observados durante la investigación eran "característicos de intrusiones vinculadas a la RPDC", aunque el informe no realiza una atribución concluyente. Actualización de contratos y acuñación de nuevos $H Humanity Protocol señaló que el atacante empleó claves robadas de un directivo para actualizar un contrato en Ethereum y mover alrededor de 141,18 millones de tokens $H. En BNB Chain, el atacante habría tomado el control de un contrato ProxyAdmin, lo que le permitió acuñar $H adicionales directamente. Esos tokens se vendieron después en pools de liquidez tanto en Ethereum como en BSC, ampliando las pérdidas de titulares y proveedores de liquidez. El equipo subrayó que el incidente no se debió a una vulnerabilidad de los contratos inteligentes en sí, sino a un acceso administrativo no autorizado obtenido a través del ataque de "phishing". Ethereum congelado y abandono del despliegue en BSC El incidente también abrió una brecha entre los despliegues de Humanity Protocol en Ethereum y en BSC. La actualización señala que el contrato del token en Ethereum se congeló con éxito mediante un monedero multisig limpio e independiente que el atacante no llegó a controlar. El proyecto añadió que el puente canónico de Humanity Mainnet no se ha visto afectado. Distinta es la situación en BNB Chain: el despliegue se considera ya comprometido de manera permanente porque el atacante mantiene el control administrativo y puede seguir acuñando nuevos tokens. "Debe abandonarse", escribió el equipo en referencia al despliegue en BSC. El caso vuelve a poner el foco en los riesgos crecientes en el sector cripto asociados a la gestión de claves de gobernanza, la seguridad operativa y los ataques de ingeniería social. Resumen Humanity Protocol afirmó que un "phishing" que suplantaba a Bithumb derivó en el robo de claves de un directivo utilizadas en el exploit del 8 de junio contra $H. El proyecto congeló su despliegue en Ethereum, pero sostiene que debe abandonar su despliegue en BNB Chain porque el atacante conserva los permisos de acuñación.