PANews는 6월 14일 휴머니티(Humanity)가 퀀트스탬프(Quantstamp)에 의뢰한 독립 조사 보고서를 공개했다고 보도했습니다. 이 보고서에 따르면 H 토큰 보안 사고에서 공격자들은 북한 해커들이 사용하는 전형적인 도구와 수법을 사용했습니다. 공격자들은 비썸(Bithumb) 거래소를 사칭한 피싱 이메일을 통해 프로젝트 책임자들에게 접근하여 악성 첨부 파일을 클릭하도록 유도했습니다. 이를 통해 원격 제어 트로이목마를 기기에 설치하고 최종적으로 데스크톱 제어 권한과 지갑 개인 키를 탈취했습니다. 이후 이더리움과 BNB 체인에 대한 온체인 공격을 감행했습니다. 이더리움 측에서는 키를 탈취하여 컨트랙트를 업그레이드하고 약 1억 4118만 개의 H 토큰을 전송했습니다. BSC 측에서는 ProxyAdmin 컨트랙트를 장악하고 새로운 토큰을 발행했습니다. 탈취한 자산은 약 8시간 동안 유니스왑(Uniswap)과 팬케이크스왑(PancakeSwap)에 지속적으로 매도되어 유동성과 시장 가격에 상당한 영향을 미쳤습니다.

현재 이더리움 측의 H 토큰 계약이 동결되었습니다. 메인넷 브리지는 영향을 받지 않았지만, BSC 배포 환경이 공격자에게 장악되어 여전히 토큰 발행 권한을 보유하고 있습니다. 팀은 거래소 및 보안 기관과 협력하여 후속 조치 및 복구 계획을 수립하고 있습니다. 동시에 사용자들에게 가짜 "보상/청구" 링크에 주의할 것을 당부하며, 팀은 공식 채널을 통해 추가 업데이트를 제공할 예정입니다.

앞서 휴머니티 프로토콜이 공격을 받아 휴머니티 재단 회원의 개인 키가 유출되었고, 이로 인해 3,100만 달러 이상이 도난당했다는 보도가 있었습니다 .