Humanity Protocol: Angriff über privaten Schlüssel – 31 Mio. US-Dollar entwendet, Token stürzt um 90% ab
Am 9. Juni meldete der On-Chain-Analyst Specter, dass Wallets mit Bezug zum Digital-Identity-Projekt Humanity fortlaufend attackiert werden. Betroffen seien hunderte Adressen, die H-Token halten; der Gesamtschaden liege bei über 31 Mio. US-Dollar. Rund 9 Mio. US-Dollar seien bereits in ETH getauscht worden, weitere 9,9 Mio. US-Dollar blieben in H-Token gebunden.
Humanity-Gründer Terence Kwok bestätigte anschließend einen Sicherheitsvorfall: Der private Schlüssel eines Stiftungsmitglieds sei kompromittiert worden. Aus Vorsicht empfiehlt das Team, vorerst nicht mit der Humanity-Crosschain-Bridge oder mit Liquiditätspools zu interagieren, bis die Sicherheit erneut verifiziert ist. Man arbeite mit Sicherheitsexperten und Börsenpartnern an der Eindämmung und wolle die Community fortlaufend informieren.
Der Kurs des H-Tokens brach innerhalb von 24 Stunden um mehr als 90% ein und fiel von etwa 0,7 USDT bis auf 0,052 USDT. Zum Zeitpunkt der Veröffentlichung notierte H bei 0,1368301 USDT. Die Marktkapitalisierung sank laut Bericht von 2 Mrd. US-Dollar auf rund 35,7 Mio. US-Dollar. Nach Stand vom 9. Juni, 11:00 Uhr, wird zudem vermutet, dass der Angreifer 100 Mio. neue Humanity-Protocol-Token (H) geprägt und gegen BNB verkauft hat.
Humanity Protocol wurde 2024 gegründet und positioniert sich als dezentrales Netzwerk für digitale Identitäten. Als Kernversprechen nennt das Projekt die Verifikation "echter Menschen" mittels Handflächen-Biometrie und Zero-Knowledge-Proofs, um Sybil-Angriffe, Fake-Accounts und KI-generierte Identitäten zu bekämpfen, ohne persönliche Daten offenzulegen. Technisch basiert das Projekt auf Polygon CDK (zkEVM).
Die Story zog 2024 viel Kapital an: Humanity Protocol schloss zwei Finanzierungsrunden über insgesamt 50 Mio. US-Dollar ab. In der Seed-Runde flossen 30 Mio. US-Dollar bei einer Bewertung von 1 Mrd. US-Dollar; beteiligt waren unter anderem Kingsway Capital, Animoca Brands, Blockchain.com und Shima Capital. Im Januar 2025 folgte eine Runde über 20 Mio. US-Dollar unter Führung von Pantera Capital und Jump Crypto, die die Bewertung auf 1,1 Mrd. US-Dollar anhob. Zur Humanity Foundation zählen laut Darstellung prominente Namen, angeführt von Yat Siu (Chairman, Animoca Brands). Als Co-Founder werden Mario Nawfal sowie Yeewai Chong (Morgan Stanley und Ortus Capital) genannt.
Am 25. Juni 2025 startete der H-Token über den Fairdrop-Mechanismus, beworben als erste Tokenverteilung der Web-3.0-Geschichte ausschließlich an verifizierte echte Menschen. Zwei Tage später berichtete DL News über ein geleaktes Gespräch mit den Gründern. Darin habe Kwok eingeräumt, dass von 9 Mio. online erstellten Human IDs nur rund 1 Mio. eine biometrische Verifikation abgeschlossen hätten; bis zu 88% der Nutzer könnten Bots gewesen sein.
Auf X äußerten Nutzer wie SCoin (@LianFang_) und AB Kuai Dong (@_FOR AB) den Verdacht, Humanity Protocol (H) könne ein "Inlandsprojekt mit Hülle" sein. Sie verwiesen darauf, dass Bilder eines in Shenzhen ansässigen Zutrittskontrollunternehmens, Zhangteng Information, weiterhin im Code-Repository der App zu finden seien. Zudem wird behauptet, die Social-Media-Reichweite sei überwiegend durch teamnahe Fake-Accounts erzeugt, was Zweifel an echter Nutzung wecke. AB Kuai.Dong riet zuvor verifizierten Humanity-Nutzern zur Vorsicht. Zhangteng Information soll von einem Shanghaier Outsourcing-Unternehmen unterstützt werden, das Full-Service-Identitätsprüfungen anbietet. Whistleblower SCoin behauptete außerdem, das Projekt sammele umfangreich Handflächen-Daten, was Datenschutz- und Sicherheitsbedenken verstärke.
Bereits kurz nach dem Token-Start stand der Kurs unter Druck: Binnen zwei Tagen fiel H laut Bericht um mehr als 61% von etwa 0,05 US-Dollar auf ein Tief bei 0,018.
Zusätzliche Aufmerksamkeit erhält das Projekt durch Kwoks Vorgeschichte: 2012 gründete er nach einem Studienabbruch an der University of Chicago im Alter von 20 Jahren Tink Labs. Auslöser war eine Roaming-Rechnung über 900 US-Dollar; das Unternehmen bot kostenlose Smartphones (Handy) in Hotelzimmern als Alternative zu teuren Roaming-Gebühren an. Tink Labs sammelte 170 Mio. US-Dollar von Investoren wie Foxconn, SoftBank, Innovation Works und dem Meitu-Gründer ein, erreichte eine Bewertung von 1,5 Mrd. US-Dollar und galt als erstes Unicorn Hongkongs. In der Spitze war Handy laut Bericht in 82 Ländern und 600.000 Hotelzimmern vertreten.
Mit der Expansion kamen Probleme: Roaming-Gebühren sanken weiter, Hotels wollten für die Geräte nicht zahlen, ab 2017 schrieb das Unternehmen Verluste. Die Financial Times berichtete, SoftBank habe Mittel für zentrale Projekte gekürzt, nachdem Hinweise aufgekommen seien, dass Tink Labs Gelder aus dem japanischen Joint Venture in andere Verlustmärkte umgeleitet haben könnte. Im Juli 2019 seien über 100 Mitarbeitende in den EMEA-Büros ohne Gehalt geblieben; scheidende Beschäftigte sollen die Wände und Böden des Oxford-Büros mit Kuchen bedeckt haben. Am 1. August stellte Tink Labs den Betrieb offiziell ein, im Januar 2020 folgte die Insolvenzliquidation. Eine frühere HR-Führungskraft sagte der FT, Kwok habe sich nur für "Geld verdienen" interessiert; die 170 Mio. US-Dollar Investment seien vollständig verschwunden.
Sechs Jahre später kehrte Kwok mit Humanity Protocol zurück und erhielt erneut eine Unicorn-Bewertung, unter anderem durch Pantera Capital und Jump Crypto.
Zum aktuellen Vorfall heißt es, nach derzeitigem Stand habe der Angriff keine Smart-Contract-Schwachstelle oder ein Protokollproblem ausgenutzt, sondern basiere auf dem Zugriff auf den privaten Schlüssel eines Stiftungsmitglieds – ein klassischer Fehler im Schlüssel- und Sicherheitsmanagement. Die Lage im Kryptosektor sei ohnehin angespannt: CCN zufolge überstiegen die Verluste durch DeFi-Hacks in den ersten vier Monaten 2026 bereits 1 Mrd. US-Dollar, ein Großteil davon sei nicht wiederbeschafft worden. Am 1. April wurde Drift Protocol demnach Opfer eines Angriffs über 286 Mio. US-Dollar, dem größten Einzelfall des Jahres. Angreifer zielten zunehmend auf Validatoren, RPC-Nodes und Governance-Systeme, nicht nur auf Smart-Contract-Bugs.
Private-Key-Kompromittierungen gelten dabei als besonders verheerend, weil sie On-Chain-Sicherheitsmechanismen umgehen und unmittelbare Kontrolle über Vermögenswerte ermöglichen. Für ein Projekt, das bereits wegen möglicher 88% Bot-Nutzung in der Kritik stand und dessen Token von Höchstständen um mehr als 90% gefallen ist, könnte ein Verlust von 31 Mio. US-Dollar durch einen geleakten Schlüssel das Vertrauen nachhaltig beschädigen.
Kwok erklärte, man arbeite mit Sicherheitsexperten und Börsenpartnern an der Lösung, nannte jedoch keinen Plan für eine Entschädigung von Nutzern und erklärte nicht, warum die privaten Schlüssel von Stiftungsmitgliedern nicht durch grundlegende Maßnahmen wie Multisignatur oder Hardware-Isolation abgesichert gewesen seien.
