Rédaction: ChandlerZ, Foresight News
Le 9 juin, selon l'analyste on-chain Specter, les portefeuilles ayant interagi avec le projet d'identité numérique Humanity ont été la cible d'une attaque persistante. Des centaines d'adresses détenant le token H ont été piratées, pour des pertes totales dépassant 31 millions de dollars. Environ 9 millions de dollars ont été échangés contre de l'ETH, et environ 9,9 millions de dollars restent sous forme de tokens H.
Terence Kwok, le fondateur de Humanity, a par la suite confirmé un incident de sécurité impliquant la fuite de la clé privée d'un membre de la fondation. À titre de mesure préventive, il a conseillé aux utilisateurs de ne pas interagir temporairement avec le pont cross-chain de Humanity ou avec tout pool de liquidité, jusqu'à confirmation d'une sécurité totale. L'équipe travaille avec des experts en sécurité et des partenaires d'échange pour résoudre le problème et continuera à tenir la communauté informée de l'avancement.
Le prix du token H est passé d'environ 0,7 USDT à un minimum de 0,052 USDT, soit une baisse de plus de 90 % en 24 heures. Au moment de la rédaction, H s'échange à 0,1368301 USDT, sa capitalisation boursière étant passée de 2 milliards de dollars à environ 35,7 millions de dollars.
Au 9 juin à 11h00, l'attaquant aurait nouvellement frappé 100 millions de tokens H de Humanity Protocol et serait en train de les vendre contre des BNB.
Un projet n'ayant jamais vraiment « prouvé l'humanité »
Humanity Protocol a été fondé en 2024, se positionnant comme un réseau d'identité numérique décentralisé. Son principal argument est l'utilisation de la reconnaissance biométrique de la paume de la main et de la preuve à divulgation nulle de connaissance (ZK) pour vérifier qu'un utilisateur est une vraie personne. Construit sur Polygon CDK (zkEVM), le projet prétend pouvoir résoudre les problèmes d'attaques sybil, de faux comptes et d'identités générées par l'IA sans exposer les informations personnelles.
Ce récit a attiré une attention importante des investisseurs en 2024, Humanity Protocol ayant réalisé deux tours de financement pour un total de 50 millions de dollars. Un tour de table initial de 30 millions de dollars à une valorisation de 1 milliard de dollars, avec des investisseurs comme Kingsway Capital, Animoca Brands, Blockchain.com et Shima Capital. En janvier 2025, un tour de 20 millions de dollars mené par Pantera Capital et Jump Crypto a porté la valorisation à 1,1 milliard de dollars.
La fondation Humanity comptait également de nombreuses personnalités connues, dirigée par Yat Siu, président d'Animoca Brands, et cofondée par Mario Nawfal, fondateur d'une société internationale de conseil en blockchain, et Yeewai Chong, expert senior en investissement chez Morgan Stanley et Ortus Capital.
Le 25 juin 2025, le token H a été lancé via un mécanisme de Fairdrop, présenté comme la première distribution de tokens de l'histoire du Web3 réservée aux personnes physiques vérifiées. Cependant, deux jours après le lancement, le média DL News a rapporté des conversations divulguées du fondateur. Dans ces conversations, Kwok aurait reconnu que sur les 9 millions d'ID Humains créés sur le réseau, seulement environ 1 million avaient terminé la vérification biométrique, ce qui suggère que jusqu'à 88% des utilisateurs pourraient être des bots.
Par ailleurs, selon des révélations sur la plateforme X par des utilisateurs tels que SCoin (@ LianFang _) et AB Kuai . Dong (@_FOR AB ), Humanity Protocol (H) pourrait être un « projet chinois sous une coquille étrangère », le code de l'application contenant encore des images de la société chinoise de contrôle d'accès par empreinte palmaire Zhangteng Information, ce qui a soulevé des doutes sur son authenticité. Les internautes ont affirmé que la visibilité du projet sur les réseaux sociaux était en grande partie orchestrée par des comptes affiliés au projet lui-même, interrogeant sur le véritable engagement des utilisateurs.
AB Kuai.Dong a déclaré que ceux qui avaient déjà été certifiés par Humanity devaient être prudents. Derrière Zhangteng Information se trouve une société de sous-traitance basée à Shanghai, spécialisée dans l'externalisation complète des systèmes d'identification. De plus, le lanceur d'alerte SCoin a affirmé que le projet collectait massivement les empreintes palmaires des utilisateurs, suscitant des inquiétudes quant à la sécurité et à la vie privée.
Ces révélations sont fatales pour un projet dont la proposition de valeur centrale est de « prouver l'humanité ». Le token H a chuté de plus de 61% en deux jours après son lancement, passant d'environ 0,05 dollar à un creux de 0,018 dollar.
La précédente licorne du fondateur a brûlé 170 millions de dollars
Le parcours personnel de Terence Kwok ajoute également une note de risque pour ce projet. En 2012, à 20 ans, Terence Kwok quitte l'Université de Chicago. Après avoir reçu une facture d'itinérance de 900 dollars lors d'un voyage, il fonde Tink Labs, qui fournit des smartphones gratuits (marque Handy) dans les chambres d'hôtel pour permettre aux clients de les utiliser à l'étranger et éviter les frais d'itinérance élevés. Ce concept a initialement séduit le marché, Tink Labs levant 170 millions de dollars auprès de Foxconn, SoftBank, Innovation Works et du fondateur de Meitu, atteignant une valorisation de 1,5 milliard de dollars et devenant la première licorne de Hong Kong. À son apogée, les appareils Handy étaient déployés dans 82 pays, couvrant 600 000 chambres d'hôtel.
Mais la stratégie d'expansion agressive de Kwok s'est rapidement heurtée à la réalité : la baisse continue des frais d'itinérance mondiale et la réticence des hôtels à payer pour les appareils Handy. La société a commencé à enregistrer des pertes à partir de 2017. Selon le Financial Times, après avoir découvert que Tink Labs avait potentiellement détourné des fonds d'une coentreprise japonaise pour couvrir les pertes sur d'autres marchés, SoftBank a coupé le soutien financier clé. En juillet 2019, plus de 100 employés des bureaux d'Europe, du Moyen-Orient et d'Afrique n'ont pas reçu leur salaire. Les employés licenciés ont quitté les bureaux d'Oxford en enduisant les murs et le sol de gâteau. Le 1er août, Tink Labs a officiellement fermé, entrant en liquidation en janvier 2020. Un ancien responsable des ressources humaines a déclaré au FT que Kwok ne se souciait que de « gagner de l'argent », les 170 millions de dollars d'investissement ayant complètement disparu.
Six ans plus tard, Kwok est revenu sur le marché avec Humanity Protocol, obtenant à nouveau une valorisation de licorne auprès de Pantera Capital et Jump Crypto.
Gestion des clés privées : vieux problème, nouveau prix à payer
Selon les informations actuelles, cette attaque n'implique pas de vulnérabilité de contrat intelligent ou de faille de sécurité au niveau du protocole. L'attaquant a obtenu la clé privée d'un membre de la fondation, relevant d'un échec traditionnel de gestion de sécurité.
La situation de la sécurité dans le secteur crypto en 2026 était déjà préoccupante. Selon les statistiques de CCN, au cours des quatre premiers mois de 2026, les pertes dues aux attaques de hackers dans le secteur DeFi ont dépassé 1 milliard de dollars, la plupart des fonds volés n'ayant toujours pas été récupérés. Le 1er avril, l'attaque de 286 millions de dollars contre Drift Protocol était le plus gros événement de l'année. Les attaquants ciblent de plus en plus les validateurs, les nœuds RPC et les systèmes de gouvernance, et pas seulement les vulnérabilités des contrats intelligents. Cependant, la fuite de clés privées reste l'un des types d'attaque aux conséquences les plus désastreuses, car elle contourne tous les mécanismes de sécurité on-chain pour obtenir directement le contrôle des actifs.
Pour un projet déjà entaché par la controverse de 88% d'utilisateurs bots et dont le token avait chuté de plus de 90% par rapport à son pic, un incident de fuite de clé privée de 31 millions de dollars pourrait être le coup de grâce pour la confiance. Au moment de la rédaction, Kwok a déclaré dans un communiqué que l'équipe travaillait avec des experts en sécurité et des partenaires d'échange, mais n'a mentionné aucun plan d'indemnisation des utilisateurs, ni expliqué pourquoi la clé privée du membre de la fondation n'était pas protégée par des mesures de base telles qu'une signature multiple (multisig) ou un isolement matériel.
