Le vol de 36 millions de dollars de jetons Humanity aurait pu commencer non pas par une attaque contre un contrat intelligent, mais par une lettre ordinaire. Selon Quantstamp, les attaquants ont utilisé un faux message de la part de la bourse sud-coréenne Bithumb et ont envoyé un fichier malveillant à l'employé.
Après avoir ouvert la pièce jointe, les attaquants ont obtenu un accès à distance à l’ordinateur portable du travail. Ensuite, le scénario est devenu critique pour le projet : les données du portefeuille MetaMask et les clés privées ont été copiées de l'appareil, ce qui a permis de retirer des actifs.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
L'appât était le calendrier de blocage des jetons
La lettre ressemblait à une mise à jour officielle du calendrier de blocage des jetons. Pour une société de cryptographie, un tel sujet ne semble pas suspect, surtout si le message est émis au nom d'un échange bien connu.
C'est ce qui a rendu l'attaque dangereuse. Les attaquants n’ont pas choisi un appât aléatoire, mais un contexte compréhensible par les employés du projet et lié à leur travail habituel.
Selon Quantstamp, la pièce jointe a installé un logiciel malveillant. Elle a ouvert un accès à distance complet à l'ordinateur portable, après quoi les attaquants ont pu obtenir des données sensibles auprès du directeur du Humanity Protocol, Chong Yee Wai.
Le problème n'était pas les contrats, mais les clés
Dans cette histoire, la principale vulnérabilité s’est avérée être en dehors de la blockchain. Si les clés privées tombent entre les mains d'un attaquant, le réseau perçoit les transactions ultérieures comme des opérations normales du propriétaire du portefeuille.
Il s’agit de l’un des pires scénarios pour les projets de cryptographie. Un audit de contrat intelligent peut ne pas être utile si l'accès aux actifs est stocké sur un appareil qui peut être infecté via un e-mail de phishing.
L’attaque montre donc un risque plus large. Sans une gestion stricte des clés, une isolation des appareils de travail et une confirmation de transaction à plusieurs niveaux, même un projet de grande envergure peut perdre des liquidités à cause d'un seul ordinateur portable compromis.
Des traces suggèrent une écriture nord-coréenne
Quantstamp a spécifiquement relevé un détail technique : le malware était signé avec un certificat numérique de la société sud-coréenne Hancom. Selon l'entreprise, cette technique est typique des attaques auparavant associées à des groupes de la RPDC.
Cela ne signifie pas automatiquement une preuve devant le tribunal. Mais les signes répétés sont importants pour les enquêtes de cybersécurité : la méthode de livraison des fichiers, le fait de se faire passer pour une entreprise familière, l'utilisation de certificats d'apparence légitime et d'autres manipulations de clés.
Dans le cas de l’humanité, une telle connexion semble révélatrice. Les attaquants ont utilisé le sujet lié aux jetons, la bourse sud-coréenne, comme couverture et comme outil censé paraître moins suspect au système de sécurité.
Les groupes nord-coréens reviennent sur le devant de la scène
Si la version de Quantstamp est confirmée, l'incident rejoindra la liste des vols de crypto majeurs associés à la RPDC. Selon la source, en avril, des groupes associés à ce pays pourraient être impliqués dans au moins 578 millions de dollars sur les 634 millions de dollars de dommages résultant d'incidents de cryptographie.
CertiK avait précédemment estimé que l'échelle était encore plus élevée. Dans un rapport de mai, la société a écrit que ces groupes étaient associés à environ 2 milliards de dollars des 3,4 milliards de dollars de pertes dues aux exploits cryptographiques en 2025. Cependant, ils représentaient environ 12 % de tous les incidents.
Ce rapport est important. Nous ne parlons pas d’un grand nombre de petites attaques, mais d’une proportion relativement faible d’incidents entraînant d’énormes dégâts. Cela indique des opérations ciblées, une longue préparation et une sélection de cibles où vous pouvez rapidement obtenir une somme importante.
Le vol de crypto est devenu un système distinct
Selon CertiK, au cours de la dernière décennie, les structures associées à la RPDC pourraient avoir volé environ 6,75 milliards de dollars de crypto-monnaie. Les rapports mentionnent 263 incidents documentés.
L'entreprise estime que de telles opérations sont devenues l'un des mécanismes de financement extérieur du régime. Cela ne ressemble plus à une collection de hacks disparates. Il s’agit plutôt d’une infrastructure persistante qui va à l’encontre des échanges, des protocoles, des employés et des prestataires de services.
Pour l’industrie, cela change l’approche de la sécurité. La menace ne vient pas seulement du code. Cela peut partir d’un e-mail, d’une interview, d’un faux document, d’une fausse mise à jour ou d’un fichier infecté.
Le facteur humain reste la porte d’entrée principale
Le cas Humanity montre pourquoi le phishing est si dangereux pour le marché de la cryptographie. Les attaquants n’ont pas toujours besoin de rechercher une erreur de protocole complexe. Il suffit parfois de convaincre une seule personne d’ouvrir le dossier.
Si cette personne a accès aux portefeuilles, aux systèmes internes ou aux clés, les dégâts peuvent être immédiats. Dans une entreprise traditionnelle, un ordinateur portable infecté est souvent synonyme de fuite de données. Dans le secteur de la cryptographie, cela peut signifier une perte directe de jetons qui, une fois transférés, sont presque impossibles à restituer.
Par conséquent, les projets sont obligés de renforcer non seulement l’audit du code, mais également la sécurité opérationnelle. Nous avons besoin de dispositifs séparés pour signer les transactions, d'une interdiction de stocker les clés sur les ordinateurs portables de travail, de procédures multifactorielles et de restrictions d'accès, même pour les managers.
La Corée du Nord nie les accusations
Pyongyang a toujours nié toute implication dans des cyberattaques. Le 3 mai, un représentant du ministère des Affaires étrangères de la RPDC, par l'intermédiaire de l'agence d'État KCNA, a déclaré que les accusations américaines étaient basées sur des déclarations incorrectes concernant une cybermenace prétendument inexistante.
De telles déclarations n’arrêtent pas les enquêtes des analystes de la blockchain. Les sociétés de sécurité continuent de surveiller les indicateurs techniques, les mouvements de fonds et les schémas d’attaques répétées.
C'est cette partie pratique qui est importante pour le marché. Les dénégations politiques ne changent rien au fait que les projets cryptographiques sont de plus en plus confrontés à des opérations bien préparées où le phishing se conjugue avec le retrait rapide d’actifs.
L’humanité doit restaurer la confiance
Pour Humanity Protocol, les dégâts ne s’arrêtent pas à 36 millions de dollars. Le projet opère dans le domaine de l'identité décentralisée, où la sécurité et la confiance revêtent une importance particulière.
Après une telle attaque, les utilisateurs et partenaires attendront des réponses à plusieurs questions. Où les clés ont été stockées, pourquoi elles ont pu être obtenues à partir d'un appareil de travail, quel accès l'employé avait et quelles restrictions apparaîtraient après l'incident.
Il est également important que le marché comprenne si des mesures seront prises pour compenser, surveiller les fonds volés et renforcer les procédures internes. Sans cela, le piratage restera non seulement une perte financière, mais aussi un coup porté à la réputation.
Quelle est la prochaine étape ?
Humanity Protocol doit publier un rapport clair sur le piratage et les mesures post-incident. Les changements apportés à la gestion des clés, à la vérification des pièces jointes aux e-mails et à l'accès des employés aux portefeuilles sont particulièrement importants.
Pour l’ensemble du secteur, cette affaire est devenue un rappel supplémentaire : la sécurité d’un projet crypto ne s’arrête pas à l’audit des contrats intelligents. Si les clés peuvent être volées via un ordinateur portable, la sécurité du protocole reste incomplète.
La conclusion principale est simple. L’attaque contre l’humanité a montré que le phishing et la compromission des employés restent l’un des scénarios les plus dangereux pour le marché de la cryptographie. Si la piste nord-coréenne est confirmée, ce sera un autre exemple d’opération ciblée dans laquelle un groupe bien entraîné a accédé à des ressources grâce à une erreur humaine.
En savoir plus: L'audit IA de Zcash n'a révélé aucune nouvelle erreur critique
Voir l’article original en russe
