O Humanity Protocol sofreu um dos maiores exploits de 2026, com atacantes roubando e vendendo mais de $36 milhões em H tokens nas redes Ethereum e BNB Chain após comprometerem chaves privadas através de um laptop de funcionário hackeado. O ataque gerou 300 milhões de H tokens não autorizados, drenou os pools de liquidez da BSC para apenas $13 e fez o preço do H token on-chain despencar 99,9% — enquanto o preço do contrato perpétuo na exchange centralizada permaneceu em $0,09, criando uma divergência de preço de 100 vezes que efetivamente separou o H em dois ativos não relacionados.
Como o ataque se desenrolou
De acordo com a atualização oficial do incidente do Humanity Protocol, o ataque se originou de um laptop de funcionário comprometido que vazou as chaves da carteira multi-assinatura que controla o Hyperlane Bridge ProxyAdmin. Na Ethereum, o atacante obteve três das seis chaves privadas de proprietário do Gnosis Safe — o suficiente para alcançar o limite de assinatura — transferiu a propriedade do contrato ProxyAdmin para uma carteira sob seu controle e atualizou o contrato de bridge para uma implementação maliciosa. Uma única transação então transferiu aproximadamente 141,2 milhões de tokens H para as carteiras do atacante.
Na BNB Chain, o atacante obteve três das cinco chaves de proprietário da carteira Safe através do mesmo vetor de compromisso, assumiu o ProxyAdmin da mesma forma e implantou um contrato malicioso com capacidades de cunhagem ilimitadas — cunhando diretamente 200 milhões de tokens H em duas transações.
O ataque durou aproximadamente 13 horas, durante as quais o atacante continuou emitindo e vendendo tokens H na BSC, drenando a liquidez da pool até que praticamente nada restasse. Acumulativamente, o atacante cunhou aproximadamente 300 milhões de tokens H e vendeu cerca de 450 milhões — incluindo o suprimento previamente circulante — sacando cerca de $34 milhões em ETH e BNB. A liquidez on-chain na pool H na BSC foi reduzida a aproximadamente $13 no momento do relatório.
ZachXBT: dois eventos separados, mas o pump de preço pré-exploração levanta questões.
O investigador on-chain ZachXBT lançou uma análise concluindo que a equipe do Humanity provavelmente não está por trás de um "rug pull" ou "performance autodirigida" — a divulgação do vazamento de chaves privadas parece genuína e a equipe não parece ter orquestrado o roubo. No entanto, ZachXBT identificou um padrão separado e preocupante: antes da exploração e antes do desbloqueio de tokens programado para aproximadamente 25 de junho, o preço dos tokens H foi artificialmente bombado através do que parecem ser acordos de market-making suspeitos e grandes transações de balcão.
A avaliação de ZachXBT é que o compromisso da chave privada e o pump de preço pré-exploração são eventos independentes — mas o timing levanta a questão de se a inflação de preço foi projetada para aliviar a pressão de venda antes do desbloqueio de tokens para investidores e contribuintes iniciais, independentemente de sua conexão com o hack em si. A investigação está em andamento.
Colapso do preço do token: um conto de dois mercados
A destruição on-chain da liquidez do H criou uma bifurcação de mercado extraordinária. O preço do token H na BSC caiu 99,9% para aproximadamente $0,0009 à medida que a liquidez foi drenada para quase zero — basicamente tornando o H on-chain sem valor em termos práticos. Enquanto isso, o preço do contrato perpétuo em exchanges centralizadas permaneceu em aproximadamente $0,09 — um prêmio de 100 vezes sobre o preço spot on-chain. O H efetivamente se tornou dois ativos não relacionados, dependendo de onde é negociado, com a versão on-chain refletindo a destruição catastrófica de liquidez e a versão da CEX refletindo a descoberta de preço atrasada em um mercado que ainda não processou completamente as implicações da exploração.
Resposta do Humanity Protocol
O projeto suspendeu todas as operações de depósito e retirada para os serviços de bridge afetados e está trabalhando com exchanges e outros parceiros relevantes para mitigar novas perdas. O Humanity Protocol afirmou que está cooperando de perto com as forças de segurança para investigar o incidente e tentar recuperar os fundos roubados. Uma investigação interna também está em andamento.
Um padrão crescente de explorações de chaves privadas
O hack do Humanity Protocol continua uma tendência alarmante de compromissos de chaves privadas que tem definido a segurança cripto em 2026. O maior deste ano foi a exploração do Drift Protocol em abril, onde atacantes afiliados ao Lazarus Group da Coreia do Norte ganharam controle das chaves de admin do conselho de segurança, resultando em perdas de $280 milhões. Outras explorações de chaves privadas este ano incluem Step Finance, Resolv, Volo Vault, Echo Bridge, Bankr, Polymarket, StablR, Stake DAO, Gravity Bridge e Aelphium Bridge. A CertiK relatou que os compromissos de carteira e chaves privadas foram o segundo vetor de ataque mais custoso em maio, com $13,7 milhões roubados apenas naquele mês.
O incidente do Humanity Protocol sublinha que estruturas de carteira multi-assinatura — embora mais seguras do que sistemas de chave única — continuam vulneráveis quando os dispositivos dos detentores de chave individuais são comprometidos no nível do endpoint. Três chaves comprometidas de seis ou cinco são suficientes para alcançar os limites de assinatura nas configurações padrão de multi-sig, tornando a segurança do endpoint dos dispositivos dos detentores de chave tão crítica quanto a arquitetura do smart contract em si.