Protokol Kemanusiaan telah mengalami salah satu eksploitasi paling merusak di tahun 2026, dengan penyerang mencuri dan menjual lebih dari $36 juta H token di Ethereum dan BNB Chain setelah mengakses kunci pribadi melalui laptop pegawai yang diretas. Serangan ini mencetak 300 juta H token yang tidak sah, menguras kolam likuiditas BSC hingga hanya $13, dan membuat harga H token di on-chain anjlok 99.9% — sementara harga kontrak perpetual di bursa terpusat tetap di $0.09, menciptakan perbedaan harga 100 kali yang secara efektif memisahkan H menjadi dua aset yang tidak terkait.

Bagaimana serangan terjadi

Menurut pembaruan resmi insiden Humanity Protocol, serangan berasal dari laptop pegawai yang dikompromikan yang membocorkan kunci dompet multi-tanda tangan yang mengendalikan Hyperlane Bridge ProxyAdmin. Di Ethereum, penyerang memperoleh tiga dari enam kunci privat pemilik Gnosis Safe — cukup untuk mencapai ambang tanda tangan — mentransfer kepemilikan kontrak ProxyAdmin ke dompet di bawah kendali mereka, dan meningkatkan kontrak jembatan ke implementasi jahat. Satu transaksi kemudian mentransfer sekitar 141,2 juta token H ke dompet penyerang.

Di BNB Chain, penyerang memperoleh tiga dari lima kunci pemilik dompet Safe melalui vektor kompromi yang sama, mengambil alih ProxyAdmin dengan cara yang identik, dan menerapkan kontrak jahat dengan kemampuan pencetakan tak terbatas — langsung mencetak 200 juta token H dalam dua transaksi.

Serangan berlangsung selama sekitar 13 jam, di mana penyerang terus menerbitkan dan menjual token H di BSC, menyedot likuiditas dari pool hingga hampir tidak ada yang tersisa. Secara kumulatif, penyerang mencetak sekitar 300 juta token H dan menjual sekitar 450 juta — termasuk suplai yang sebelumnya beredar — mencairkan sekitar $34 juta dalam ETH dan BNB. Likuiditas on-chain di pool H di BSC berkurang menjadi sekitar $13 pada saat pelaporan.

ZachXBT: dua peristiwa terpisah, tetapi pompa harga sebelum eksploitasi menimbulkan pertanyaan

Penyelidik on-chain ZachXBT merilis analisis yang menyimpulkan bahwa tim Humanity kemungkinan tidak terlibat dalam "rug pull" atau "kinerja yang diarahkan sendiri" — pengungkapan kebocoran kunci privat tampaknya asli dan tim tidak tampak mengatur pencurian tersebut. Namun, ZachXBT mengidentifikasi pola terpisah dan mengkhawatirkan: sebelum eksploitasi dan sebelum pembukaan kunci token yang dijadwalkan sekitar 25 Juni, harga token H dipompa secara artifisial melalui apa yang tampaknya adalah kesepakatan pembuatan pasar yang mencurigakan dan transaksi besar di luar bursa.

Penilaian ZachXBT adalah bahwa kompromi kunci privat dan pompa harga sebelum eksploitasi adalah peristiwa independen — tetapi waktunya menimbulkan pertanyaan apakah inflasi harga dirancang untuk mengurangi tekanan penjualan menjelang pembukaan kunci token untuk investor dan kontributor awal, terlepas dari hubungannya dengan peretasan itu sendiri. Investigasi masih berlangsung.

Kehancuran harga token: kisah dua pasar

Kehancuran likuiditas H on-chain telah menciptakan bifurkasi pasar yang luar biasa. Harga token H di BSC turun 99,9% menjadi sekitar $0,0009 saat likuiditas dikuras hingga mendekati nol — secara praktis menjadikan H on-chain tidak berharga. Sementara itu, harga kontrak perpetual di bursa terpusat tetap di sekitar $0,09 — premi 100 kali lipat dibandingkan harga spot on-chain. H secara efektif telah menjadi dua aset yang tidak terkait tergantung di mana ia diperdagangkan, dengan versi on-chain mencerminkan kehancuran likuiditas yang katastrofik dan versi CEX mencerminkan penemuan harga yang tertunda di pasar yang belum sepenuhnya memproses implikasi eksploitasi tersebut.

Respon Humanity Protocol

Proyek telah menghentikan semua operasi deposit dan penarikan untuk layanan bridging yang terkena dampak dan sedang bekerja sama dengan bursa dan mitra relevan lainnya untuk mengurangi kerugian lebih lanjut. Humanity Protocol menyatakan bahwa mereka bekerja sama erat dengan penegak hukum untuk menyelidiki insiden tersebut dan mencoba memulihkan dana yang dicuri. Investigasi internal juga sedang berlangsung.

Polarisasi yang berkembang dari eksploitasi kunci privat

Peretasan Humanity Protocol melanjutkan tren mengkhawatirkan dari kompromi kunci privat yang telah mendefinisikan keamanan crypto di tahun 2026. Yang terbesar tahun ini adalah eksploitasi Drift Protocol pada bulan April, di mana penyerang yang terafiliasi dengan Lazarus Group dari Korea Utara mendapatkan kontrol atas kunci admin dewan keamanan yang mengakibatkan kerugian sebesar $280 juta. Eksploitasi kunci privat lainnya tahun ini termasuk Step Finance, Resolv, Volo Vault, Echo Bridge, Bankr, Polymarket, StablR, Stake DAO, Gravity Bridge, dan Aelphium Bridge. CertiK melaporkan bahwa kompromi dompet dan kunci privat adalah vektor serangan kedua termahal di bulan Mei, dengan $13,7 juta dicuri hanya di bulan itu.

Insiden Humanity Protocol menekankan bahwa struktur dompet multi-tanda tangan — meskipun lebih aman daripada sistem kunci tunggal — tetap rentan ketika perangkat pemegang kunci individu dikompromikan di tingkat endpoint. Tiga kunci yang terkompromi dari enam atau lima sudah cukup untuk mencapai ambang tanda tangan dalam konfigurasi multi-sig standar, menjadikan keamanan endpoint perangkat pemegang kunci sama pentingnya dengan arsitektur kontrak pintar itu sendiri.