Humanity Protocol взломан на $31 млн: токен H обвалился более чем на 90%

9 июня ончейн-аналитик Specter сообщил, что кошельки, взаимодействовавшие с проектом цифровой идентификации Humanity, подвергаются серии атак. По его данным, скомпрометированы сотни адресов, держащих токены H; совокупный ущерб превышает $31 млн. Около $9 млн злоумышленники уже обменяли на ETH, еще примерно $9,9 млн остается в токенах H. Основатель Humanity Терренс Квок подтвердил инцидент и заявил, что причиной стала компрометация приватного ключа одного из членов фонда. Пользователям рекомендовано временно не взаимодействовать с кроссчейн-мостом Humanity и пулами ликвидности до дополнительного подтверждения безопасности. Команда, по словам Квока, работает с профильными специалистами и партнерами на биржах и будет публиковать обновления. На фоне инцидента H за сутки упал с района 0,7 USDT до минимума 0,052 USDT (снижение более чем на 90%). На момент подготовки материала H торговался по 0,1368301 USDT; капитализация сократилась с $2 млрд до примерно $35,7 млн. По состоянию на 9 июня 11:00 предполагается, что атакующий выпустил (mint) 100 млн новых токенов Humanity Protocol (H) и продает их за BNB. Humanity Protocol, основанный в 2024 году, позиционирует себя как децентрализованную сеть цифровой идентичности. Проект продвигает верификацию "реальности" пользователя через биометрию ладони и доказательства с нулевым разглашением (zero-knowledge proofs), заявляя, что это помогает противостоять sybil-атакам, фейковым аккаунтам и AI-сгенерированным идентичностям без раскрытия персональных данных. Инфраструктурно проект построен на Polygon CDK (zkEVM). Нарратив привлек заметный капитал: в 2024 году Humanity Protocol закрыл два раунда на общую сумму $50 млн. В seed-раунде было привлечено $30 млн при оценке $1 млрд; среди инвесторов назывались Kingsway Capital, Animoca Brands, Blockchain.com и Shima Capital. В январе 2025 года раунд на $20 млн под руководством Pantera Capital и Jump Crypto повысил оценку до $1,1 млрд. В Humanity Foundation, как заявлялось, вошли заметные участники индустрии: председателем указан Ят Сиу (Animoca Brands), среди сооснователей — Марио Науфал и Йивэй Чонг, инвестиционный специалист Morgan Stanley и Ortus Capital. 25 июня 2025 года токен H был запущен через механизм Fairdrop, который позиционировали как первую в истории Web 3.0 раздачу токенов исключительно для подтвержденных реальных людей. Спустя два дня DL News сообщил о слитом разговоре с основателями, где Квок признал: из 9 млн созданных Human ID лишь около 1 млн прошли биометрическую верификацию, что допускает долю ботов до 88%. Параллельно пользователи X, включая SCoin (@LianFang_) и AB Kuai Dong (@_FOR AB), заявляли, что Humanity Protocol (H) может быть "локальным проектом-оболочкой". В качестве аргумента приводилось, что в репозитории кода приложения якобы сохраняются изображения компании Zhangteng Information из Шэньчжэня, работающей в сфере систем контроля доступа, что порождает вопросы к подлинности. В сети также утверждали, что медийная активность проекта в значительной степени обеспечивается аккаунтами, созданными самой командой, а реальная вовлеченность пользователей может быть завышена. AB Kuai.Dong отдельно предупредил о необходимости осторожности для тех, кто ранее проходил верификацию в Humanity. Утверждалось также, что Zhongteng Information связана с шанхайской аутсорсинговой компанией, оказывающей полный цикл услуг по проверке личности. Отдельно SCoin заявлял о масштабном сборе данных отпечатков ладони, что усиливает вопросы к приватности и безопасности. Репутационное давление отражалось и в котировках: в течение двух дней после запуска H сообщалось о падении цены более чем на 61% — примерно с $0,05 до минимума $0,018. Риски усиливает и бэкграунд Терренса Квока. В 2012 году, в 20 лет, он оставил University of Chicago и основал Tink Labs после того, как во время поездки получил роуминговый счет на $900. Компания предлагала бесплатные смартфоны Handy в гостиничных номерах как альтернативу дорогому роумингу. Проект привлек $170 млн инвестиций от Foxconn, SoftBank, Innovation Works и основателя Meitu, достиг оценки $1,5 млрд и стал первым "единорогом" Гонконга. На пике устройства Handy присутствовали в 82 странах и 600 тыс. гостиничных номеров. Дальше бизнес столкнулся с падением роуминговых тарифов, нежеланием отелей платить за устройства и убытками с 2017 года. Financial Times писал, что SoftBank сократил финансирование ключевых проектов после того, как обнаружил, что Tink Labs могла перенаправлять средства японского совместного предприятия в другие убыточные рынки. В июле 2019 года более 100 сотрудников офисов EMEA не получили зарплату; уходящие сотрудники, по описанию FT, "покрыли стены и пол оксфордского офиса тортом". 1 августа Tink Labs официально закрылась, а в январе 2020 года вошла в процедуру банкротной ликвидации. Бывший HR-руководитель говорил FT, что Квок заботился только о "заработке денег", а $170 млн инвестиций "исчезли полностью". Спустя шесть лет Квок вернулся на рынок с Humanity Protocol и снова получил "единорожью" оценку при участии Pantera Capital и Jump Crypto. Текущая атака, исходя из доступной информации, не связана с уязвимостями смарт-контрактов или ошибками на уровне протокола. Ключевой вектор — доступ к приватному ключу члена фонда, то есть классический провал операционной безопасности. На этом фоне общий фон в индустрии остается тяжелым: по данным CCN, в первые четыре месяца 2026 года потери от взломов DeFi превысили $1 млрд, при этом большая часть средств так и не была возвращена. 1 апреля Drift Protocol пережил атаку на $286 млн — крупнейший единичный инцидент года. Векторы атак расширяются: злоумышленники все чаще нацеливаются на валидаторов, RPC-ноды и системы управления, а не только на ошибки в коде контрактов. При этом компрометация приватных ключей остается одним из самых разрушительных сценариев, поскольку обходит все ончейн-механизмы защиты и дает прямой контроль над активами. Для проекта, который уже сталкивался с обвинениями в доле ботов до 88% и пережил падение токена более чем на 90% от пиковых значений, утечка приватного ключа с ущербом $31 млн может стать критическим ударом по доверию. На момент публикации Квок заявил, что команда работает с экспертами по безопасности и партнерами на биржах, но не сообщил о плане компенсаций пользователям и не объяснил, почему приватные ключи членов фонда не были защищены базовыми мерами вроде мультиподписи или аппаратной изоляции.