Das Humanity Protocol hat einen der verheerendsten Angriffe von 2026 erlitten, bei dem Angreifer mehr als 36 Millionen Dollar an H-Token über Ethereum und BNB Chain gestohlen und verkauft haben, nachdem sie private Schlüssel über einen gehackten Laptop eines Mitarbeiters kompromittiert hatten. Der Angriff mintete 300 Millionen unautorisierte H-Token, entleerte die BSC Liquiditätspools auf gerade mal 13 Dollar und ließ den On-Chain H-Token-Preis um 99,9% einbrechen — während der Preis des perpetual Contracts an der zentralisierten Börse bei 0,09 Dollar blieb, was eine Preisdivergenz von 100-fach erzeugte, die H effektiv in zwei voneinander unabhängige Vermögenswerte spaltete.
Wie der Angriff ablief
Laut dem offiziellen Vorfall-Update des Humanity Protocols stammte der Angriff von einem kompromittierten Laptop eines Mitarbeiters, der die Multi-Signatur-Wallet-Schlüssel, die den Hyperlane Bridge ProxyAdmin kontrollieren, geleakt hat. Auf Ethereum erlangte der Angreifer drei der sechs privaten Schlüssel der Gnosis Safe-Besitzer — genug, um die Signierungsgrenze zu erreichen — übertrug das Eigentum des ProxyAdmin-Vertrags an eine Wallet unter ihrer Kontrolle und aktualisierte den Brückenvertrag auf eine bösartige Implementierung. Eine einzelne Transaktion übertrug dann etwa 141,2 Millionen H-Tokens zu den Wallets des Angreifers.
Auf der BNB Chain erhielt der Angreifer drei der fünf Schlüssel der Safe-Wallet-Besitzer durch denselben Kompromittierungsvektor, übernahm den ProxyAdmin in identischer Weise und implementierte einen bösartigen Vertrag mit unbegrenzten Minting-Fähigkeiten — direkt 200 Millionen H-Tokens über zwei Transaktionen mintend.
Der Angriff dauerte etwa 13 Stunden, während der Angreifer weiterhin H-Tokens auf BSC ausgab und verkaufte, wodurch die Liquidität des Pools so weit gesqueeze wurde, bis praktisch nichts mehr übrig war. Insgesamt mintete der Angreifer etwa 300 Millionen H-Tokens und verkaufte etwa 450 Millionen — einschließlich zuvor zirkulierender Bestände — und cashed damit rund 34 Millionen Dollar in ETH und BNB aus. Die On-Chain-Liquidität im H-Pool auf BSC wurde zum Zeitpunkt der Berichterstattung auf etwa 13 Dollar reduziert.
ZachXBT: zwei separate Ereignisse, aber der Preispump vor dem Exploit wirft Fragen auf.
Der On-Chain-Ermittler ZachXBT veröffentlichte eine Analyse, die zu dem Schluss kam, dass das Humanity-Team wahrscheinlich nicht hinter einem "Rug Pull" oder "selbstgesteuerten Performance" steht — die Offenlegung des privaten Schlüssel-Lecks scheint echt zu sein, und das Team scheint den Diebstahl nicht orchestriert zu haben. Allerdings identifizierte ZachXBT ein separates und besorgniserregendes Muster: Vor dem Exploit und vor dem bevorstehenden Token-Unlock, der für etwa den 25. Juni geplant ist, wurde der Preis der H-Tokens künstlich durch verdächtige Markt-Making-Vereinbarungen und große OTC-Transaktionen gepumpt.
ZachXBTs Einschätzung ist, dass die Kompromittierung des privaten Schlüssels und der Preispump vor dem Exploit unabhängige Ereignisse sind — aber das Timing wirft die Frage auf, ob die Preissteigerung dazu gedacht war, den Verkaufsdruck vor dem Unlock der Tokens für Investoren und frühe Mitwirkende zu verringern, unabhängig von seiner Verbindung zum Hack selbst. Die Untersuchung ist im Gange.
Tokenpreis-Kollaps: eine Geschichte zweier Märkte
Die On-Chain-Zerstörung der Liquidität von H hat eine außergewöhnliche Markt-Bifurkation geschaffen. Der H-Token-Preis auf BSC fiel um 99,9% auf etwa 0,0009 Dollar, als die Liquidität auf nahezu null gesogen wurde — was den On-Chain-H praktisch wertlos machte. In der Zwischenzeit blieb der Preis des unbefristeten Vertrags an zentralisierten Börsen bei etwa 0,09 Dollar — ein 100-facher Premium gegenüber dem On-Chain-Spotpreis. H ist effektiv zu zwei nicht miteinander verbundenen Vermögenswerten geworden, abhängig davon, wo er gehandelt wird, wobei die On-Chain-Version die katastrophale Liquiditätszerstörung widerspiegelt und die CEX-Version die verzögerte Preisfindung in einem Markt darstellt, der die Auswirkungen des Exploits noch nicht vollständig verarbeitet hat.
Reaktion des Humanity Protocol
Das Projekt hat alle Einzahlungs- und Abhebungsoperationen für betroffene Brückenservices ausgesetzt und arbeitet mit Börsen und anderen relevanten Partnern zusammen, um weitere Verluste zu mindern. Das Humanity Protocol erklärte, dass es eng mit den Strafverfolgungsbehörden zusammenarbeitet, um den Vorfall zu untersuchen und zu versuchen, die gestohlenen Gelder zurückzuerlangen. Eine interne Untersuchung läuft ebenfalls.
Ein wachsendes Muster von privaten Schlüssel-Exploits
Der Hack des Humanity Protocol setzt einen besorgniserregenden Trend fort, bei dem private Schlüssel kompromittiert werden, der die Sicherheit von Krypto im Jahr 2026 geprägt hat. Der größte Vorfall in diesem Jahr war der Drift Protocol Exploit im April, bei dem Angreifer, die mit der Lazarus-Gruppe aus Nordkorea verbunden sind, die Admin-Schlüssel des Sicherheitsteams kontrollierten, was zu Verlusten von 280 Millionen Dollar führte. Weitere private Schlüssel-Exploits in diesem Jahr sind Step Finance, Resolv, Volo Vault, Echo Bridge, Bankr, Polymarket, StablR, Stake DAO, Gravity Bridge und Aelphium Bridge. CertiK berichtete, dass Wallet- und private Schlüsselkompromittierungen im Mai die zweithäufigste und kostspieligste Angriffsart waren, mit 13,7 Millionen Dollar, die allein in diesem Monat gestohlen wurden.
Der Vorfall des Humanity Protocol verdeutlicht, dass Multi-Signatur-Wallet-Strukturen — obwohl sie sicherer sind als Einzel-Schlüssel-Systeme — anfällig bleiben, wenn die Geräte der einzelnen Schlüsselinhaber auf Endpunkt-Ebene kompromittiert werden. Drei kompromittierte Schlüssel von sechs oder fünf reichen aus, um die Signierungsgrenzen in standardmäßigen Multi-Sig-Konfigurationen zu erreichen, was die Endpunkt-Sicherheit der Geräte der Schlüsselinhaber ebenso kritisch macht wie die Smart-Contract-Architektur selbst.