휴머니티가 퀀트스탬프의 독립 조사 보고서를 공개하고 H 토큰 보안 사고에 북한 해커와 유사한 도구와 수법이 사용됐다고 밝혔다.
보고서에 따르면 공격자는 빗썸을 사칭한 피싱 메일로 프로젝트 이사에게 악성 첨부파일을 열도록 유도했고, 원격제어 악성코드를 통해 기기와 지갑 개인키를 탈취했다.
이후 공격자는 이더리움에서 탈취한 키로 계약을 업그레이드해 약 1억4천118만 개 H 토큰을 옮겼고, 비앤비체인에서는 프록시어드민 계약을 장악해 추가 토큰을 발행했다. 탈취 자산은 유니스왑과 팬케이크스왑에서 약 8시간 동안 매도돼 유동성과 가격에 충격을 줬다.
현재 이더리움의 H 토큰 계약은 동결됐으며 메인넷 브리지는 영향을 받지 않았다. 다만 비앤비체인 배포 계약은 공격자가 통제 중이고 발행 권한도 남아 있는 상태다.
휴머니티는 거래소 및 보안업체와 후속 조치와 복구 방안을 논의하고 있으며, 이용자들에게 허위 보상·수령 링크를 주의하라고 당부했다.


