Das Sicherheitsunternehmen Quantstamp veröffentlicht die Ergebnisse seiner Untersuchung des Hacks von Humanity Protocol am 8. Juni. Angreifer erlangen über eine gezielte Phishing-Attacke Zugriff auf das Gerät eines Direktors, kopieren Wallet-Daten und private Schlüssel und schaffen es, beeindruckende 141,18 Millionen H-Token zu verschieben. Die gefundenen Muster deuten stark auf eine Beteiligung nordkoreanischer Hacker hin.
Wie der Angriff genau abläuft
Der Angriff beginnt mit einer Phishing-Nachricht, mit der die Hacker Malware auf dem Gerät eines Direktors von Humanity Protocol installieren. Über diese Malware erhalten sie Fernzugriff auf das System und können Wallet-Daten und private Schlüssel kopieren. Mit diesen Daten in der Hand aktualisieren sie den Ethereum-H-Token-Vertrag und leiten die 141,18 Millionen Token an Adressen weiter, die unter ihrer Kontrolle stehen.
In der BNB Smart Chain gehen die Angreifer noch einen Schritt weiter. Dort übernehmen sie die Kontrolle über einen ProxyAdmin-Vertrag und prägen zusätzliche H-Token. Die Kombination beider Angriffe macht deutlich, dass die Hacker gut vorbereitet sind und mehrere Chains gleichzeitig angreifen. Für den Ethereum-Kurs, der zum Zeitpunkt des Schreibens bei 1.673,82 $ liegt, hat der Hack keine unmittelbare spürbare Auswirkung.
Spuren führen nach Nordkorea
Quantstamp stellt in seinem Bericht fest, dass die verwendeten Tools und die Muster in der Zertifikatssignatur charakteristisch für Angriffe sind, die mit der DVRK, also Nordkorea, in Verbindung gebracht werden. Diese Art von Angriffen, bei denen Phishing eingesetzt wird, um Zugang zu privaten Schlüsseln zu erhalten, passt in ein breiteres Muster von staatlich geförderter Cyberkriminalität Nordkoreas, die auf den Kryptowaehrungssektor abzielt.
Der Hack von Humanity Protocol ist damit ein weiteres Beispiel dafür, wie gefährlich gezielte Phishing-Angriffe für Personen in Schlüsselpositionen innerhalb von Kryptowaehrungsprojekten sind. Der Vorfall zeigt, dass auch in der BNB Smart Chain aktive Bedrohungen bestehen, bei denen Angreifer die Vertragsverwaltung übernehmen, um zusätzliche Token zu minen.