Token H de Humanity Protocol se Desploma 89% Tras Robo de $36 Millones por Brecha en Laptop de Empleado

El token nativo H de Humanity Protocol se desplomó más del 80% el martes, luego de que atacantes comprometieran claves privadas vinculadas al proyecto, tomaran control del administrador del bridge y robaran más de $36 millones entre Ethereum y BNB Chain.

En un hilo detallado, Humanity Protocol señaló que el ataque del lunes fue coordinado en Ethereum y BSC, y se rastreó hasta una brecha que ocurrió “después de que la laptop de un empleado fuera comprometida”.

La brecha de Humanity Protocol se suma a uno de los peores periodos registrados en materia de seguridad DeFi, con más de $885 millones perdidos por hackeos en el primer semestre de 2026, según datos de DeFiLlama.

Los atacantes comprometieron tres de las seis claves Gnosis Safe en Ethereum y tres de cinco en BSC, tomando control del ProxyAdmin, drenando aproximadamente 141,2 millones de H y acuñando otros 200.000.005 H mediante actualizaciones maliciosas de contratos, según el proyecto.

El token H del proyecto se desplomó desde máximos de $0,73132 el lunes hasta un mínimo de $0,079606 en la mañana del martes, según datos de CoinGecko, una caída del 89%. H cotiza actualmente cerca de $0,20, con una baja del 73% en el día, borrando gran parte de un rally que había llevado al token cerca de su máximo histórico de $0,80 apenas una semana atrás.

El fundador Terence Kwok confirmó la brecha e instó a los usuarios a mantenerse alejados de la infraestructura del proyecto.

Humanity Protocol es una blockchain de Capa 2 de conocimiento cero enfocada en la identidad descentralizada, fundada por Kwok y construida en torno a un sistema de “Prueba de Humanidad” que verifica a los usuarios mediante escaneos de palma, en lugar de reconocimiento de iris o facial.

La brecha es el más reciente revés para Kwok, cuya empresa anterior, la startup de tecnología hotelera Tink Labs, recaudó alrededor de $160 millones y se convirtió en uno de los primeros unicornios de Hong Kong antes de cerrar en 2019 por problemas financieros.

El equipo de Humanity Protocol indicó que ha suspendido los depósitos y retiros de los bridges afectados, y trabaja con exchanges y autoridades para recuperar los fondos.

“Las personas de esta comunidad trabajaron duro por lo que tienen aquí, y sentimos el peso de eso”, afirmó el proyecto, prometiendo un análisis post-mortem.

Un “fallo de seguridad operacional”

Meir Dolev, cofundador y CTO de la plataforma de seguridad blockchain Cyvers, dijo a Decrypt que el incidente fue “un fallo de seguridad operacional, no un bug de contrato inteligente”, ya que el atacante obtuvo acceso de administrador a través de una clave privada vinculada a un miembro de la Humanity Foundation.

Tras la actualización del contrato, Dolev señaló que el atacante aprovechó la función de acuñación para crear 100 millones de nuevos H, equivalentes a unos $12,9 millones, y luego canjeó los tokens robados y acuñados por ETH y BNB antes de consolidarlos en varias wallets.

Dolev indicó que drenar aproximadamente $30 millones “requirió control a nivel de propietario/administrador, con capacidad para aumentar el suministro de tokens a través de la actualización del contrato proxy y drenar directamente las wallets controladas por el protocolo”.

“El fallo central es estructural: una sola clave con acceso tanto a los fondos como al poder de reescribir las reglas”, agregó.

Dolev interpretó la advertencia de Kwok de evitar el bridge y los pools como una señal de que el acceso “podría no estar completamente contenido”.

El atacante aún conserva grandes cantidades de H, pero no puede liquidarlos por completo debido a que la liquidez de los pools es demasiado escasa para absorber los swaps, según Dolev, lo que hace que la alerta pública sea “en parte un esfuerzo por evitar que esa liquidez sea tocada”.

Humanity Protocol tiene previsto desbloquear 266,5 millones de H, aproximadamente el 9,4% del suministro en circulación, valorados en unos $33 millones a precios previos al colapso, el 25 de junio en seis asignaciones, según datos de Tokenomist.

El investigador on-chain ZachXBT inicialmente señaló el evento como “posiblemente orquestado”, sugiriendo que ofrecía una salida conveniente para el creador de mercado activo.

Posteriormente se retractó de esa afirmación al publicar que, “tras un análisis más detallado del lavado de fondos, parece que el dudoso MM/OTC y el compromiso de la clave privada son independientes entre sí y no están relacionados”.

Dolev advirtió que la evidencia on-chain sigue siendo mixta hasta el momento, dado que el atacante posee derechos legítimos de administrador de cualquier manera. El destino final de los fondos en los próximos días, y si la clave comprometida estaba inactiva con anterioridad, afirmó, “serán el factor determinante”.