El desplome del token H de Humanity Protocol agrava las pérdidas hasta 36 millones de dólares tras un compromiso de claves privadas

La crisis de seguridad que sacude a DeFi suma un nuevo episodio: Humanity Protocol, un proyecto de identidad biométrica apoyado en pruebas de humanidad, vio cómo su token H se hundía después de un incidente que, según la propia compañía, tuvo su origen en un fallo clásico del sector: el control de llaves. Humanity presenta su propuesta como una capa de identidad centrada en privacidad, con biometría de palma, pruebas de conocimiento cero, identificadores descentralizados y credenciales verificables. Aun así, el problema no se habría producido en la parte criptográfica del diseño, sino en la capa operativa que sigue sosteniendo gran parte del ecosistema: portátiles, custodia de claves, permisos de administración, control de puentes, liquidez y coordinación con exchanges. En una actualización del incidente, Humanity afirmó que el ataque del 8 de junio de 2026 afectó a la actividad del token H en Ethereum y BNB Smart Chain. La secuencia descrita por el equipo comienza con el compromiso del portátil de un empleado, que expuso claves de propietario asociadas a un Gnosis Safe. Esas claves, según el comunicado, daban acceso a un ProxyAdmin de un puente Hyperlane, lo que derivó en el robo y la venta de aproximadamente 36 millones de dólares. La empresa añadió que se movieron en torno a 141,2 millones de H en Ethereum y que se acuñaron 200 millones de H en BNB Smart Chain. Análisis on-chain previos ya habían estimado el drenaje por encima de 30 millones de dólares, repartido en al menos 17 billeteras vinculadas a, o que interactuaban con, Humanity Protocol. En el momento de publicación, la página de mercado del activo situaba a H en 0,17 dólares, con una caída del 76% en 24 horas, una capitalización de 476 millones de dólares y un volumen de 24 horas de 533 millones de dólares. La venta masiva reflejó una pérdida de confianza que va más allá del precio: cuando en el patrón aparecen un rol de administración de puente y una vía de acuñación, el mercado descuenta incertidumbre sobre oferta del token, sedes de liquidez, estado del puente y capacidad de recuperación tras la remediación. Humanity pidió a los usuarios que no interactuaran con el puente ni con los pools de liquidez mientras trabajaba con firmas de seguridad y socios en exchanges. El fundador, Terence Kwok, vinculó el incidente a la exposición de claves privadas pertenecientes a un miembro de la Humanity Foundation. Esas declaraciones orientaron el foco hacia una ruptura de seguridad operacional con implicaciones directas para la oferta del token. Hasta ahora, la información pública disponible no establece que se hayan sustraído datos biométricos o información personal identificable de usuarios. Ese matiz es clave: el incidente gira en torno a autoridad de wallets y de puente, no a una filtración confirmada de biometría. Aun así, para un proyecto que pide a usuarios y aplicaciones confiar en su infraestructura de identidad, el hecho de que el riesgo se materialice por custodia de claves administrativas plantea un problema de fondo: gran parte de la confianza queda fuera de la promesa criptográfica. Resumen de lo confirmado públicamente - Fecha del ataque: 8 de junio de 2026, según Humanity. - Causa inicial declarada: portátil de un empleado comprometido que expuso claves de propietario de un Gnosis Safe. - Capa de control afectada: las claves expuestas estaban vinculadas a un ProxyAdmin de un puente Hyperlane. - Impacto económico comunicado: unos 36 millones de dólares robados y vendidos. - Movimientos de tokens: ~141,2 millones de H movidos en Ethereum y 200 millones de H acuñados en BNB Smart Chain. - Advertencia a usuarios: no usar el puente ni los pools de liquidez durante las tareas de contención. La cronología sigue evolucionando. Los primeros reportes hablaban de más de 30 millones de dólares drenados y al menos 17 wallets afectadas. Posteriormente, la actualización de Humanity elevó el importe a unos 36 millones y detalló el componente de acuñación en BNB Smart Chain. Lookonchain había señalado antes 100 millones de H acuñados en BSC, aunque una actualización posterior citó 200 millones. Para exchanges y proveedores de liquidez, la cuestión central es si las rutas de autoridad comprometidas han sido deshabilitadas, rotadas, auditadas y verificadas de forma independiente. Si tokens robados o acuñados sin autorización siguen circulando, el mercado debe valorar posibles congelaciones, recuperaciones, vacíos de liquidez o nuevas revelaciones. Si el control del puente y los permisos administrativos han quedado plenamente contenidos, el daño puede seguir siendo severo, pero acotado a un fallo operativo y a un choque de confianza. El caso subraya una tensión conocida en cripto: una arquitectura avanzada puede reducir lo que el usuario revela (por ejemplo, con pruebas de conocimiento cero) y, aun así, exigir que se confíe en que operadores y custodios protegen portátiles, hardware wallets, propietarios de Safes, roles de administración de puentes, claves de despliegue y protocolos de respuesta con exchanges. Lo que distingue este episodio es el tipo de proyecto afectado. Una red de identidad biométrica vende garantías de confianza de un modo distinto a una app de trading o un meme token. Un compromiso de claves puede dejar intacta la idea de identidad con ZK, pero erosionar la confianza en la institución que opera los "rails". Las próximas divulgaciones serán determinantes. Un postmortem completo con hashes de transacciones, contratos afectados, pasos de rotación de claves, medidas en exchanges, remediación del puente y una revisión de seguridad independiente ayudaría a encuadrar el evento como un fallo operativo grave pero entendido. Si persisten dudas sobre la acuñación no autorizada, si el estado del puente no queda claro o si la recuperación en exchanges es incompleta, el incidente puede escalar a una crisis de oferta del token y de confianza cross-chain para un proyecto que pretende ser una capa de confianza de identidad. En síntesis, el desplome de H apunta a un fallo ordinario de claves privadas bajo una propuesta sofisticada de identidad: ZK y biometría pueden reducir la exposición de datos del usuario, pero no eliminan el riesgo asociado a las personas y a las llaves que controlan el sistema.