Le 9 juin, selon l’analyste on-chain Specter, les portefeuilles ayant interagi avec le projet d’identité numérique Humanity sont la cible d’une attaque continue.
Des centaines d’adresses détenant le jeton H ont déjà été dérobées, pour une perte totale supérieure à 31 millions de dollars. Environ 9 millions de dollars ont déjà été convertis en ETH, tandis qu’environ 9,9 millions de dollars restent sous forme de jetons H.
Terence Kwok, fondateur de Humanity, a confirmé par la suite un incident de sécurité impliquant la fuite de la clé privée d’un membre de la fondation.
À titre préventif, il recommande aux utilisateurs de ne pas interagir temporairement avec le pont inter-chaînes de Humanity ou avec tout pool de liquidités, en attendant une confirmation de sécurité. L’équipe travaille avec des experts en sécurité et des partenaires plateformes d’échange pour gérer la situation, et continuera à informer la communauté des progrès réalisés.
Le prix du jeton H est passé d’environ 0,7 USDT à un minimum de 0,052 USDT, soit une chute de plus de 90 % en 24 heures. Au moment de la rédaction, H cote 0,1368301 USDT, et sa capitalisation est passée d’environ 2 milliards de dollars à environ 35,7 millions de dollars.
Au 9 juin à 11h00, l’attaquant aurait frappé à nouveau 100 millions de jetons H du Humanity Protocol et serait en train de les vendre contre des BNB.
Un projet qui n’a pas vraiment « prouvé l’humanité »
Humanity Protocol a été fondé en 2024. Il se positionne comme un réseau d’identité numérique décentralisé, avec pour argument principal l’utilisation de la biométrie par empreinte palmaire et des preuves à divulgation nulle de connaissance (ZK-proof) pour vérifier si un utilisateur est une personne réelle. Le projet est construit sur Polygon CDK (zkEVM) et prétend résoudre les attaques sybil, les faux comptes et les identités générées par IA sans exposer les informations personnelles.
Ce récit a attiré beaucoup d’attention des capitaux en 2024. Humanity Protocol a réalisé deux tours de financement successifs, totalisant 50 millions de dollars. Un premier tour initial (seed) de 30 millions de dollars à une valorisation de 1 milliard de dollars, avec des investisseurs tels que Kingsway Capital, Animoca Brands, Blockchain.com et Shima Capital.
Un deuxième tour de 20 millions de dollars en janvier 2025, dirigé par Pantera Capital et Jump Crypto, a porté la valorisation à 1,1 milliard de dollars.
La fondation Humanity compte également de nombreuses personnalités connues, présidée par Yat Siu, président d’Animoca Brands. Les co-fondateurs incluent Mario Nawfal, fondateur d’une société internationale de conseil en blockchain, ainsi que Yeewai Chong, expert senior en investissement chez Morgan Stanley et Ortus Capital.
Le 25 juin 2025, le jeton H a été lancé via un mécanisme de « Fairdrop », présenté comme la première distribution de jetons dans l’histoire du Web 3.0 exclusivement destinée à des personnes réelles vérifiées. Mais deux jours après le lancement, DL News a rapporté des propos divulgués du fondateur. Dans cette conversation, Kwok a admis que sur les 9 millions d’« Human ID » créés sur le réseau, seulement environ 1 million avaient terminé la vérification biométrique, ce qui signifie que jusqu’à 88 % des utilisateurs pourraient être des robots.
De plus, selon des révélations d’utilisateurs de la plateforme X comme SCoin (@LianFang_) et AB Kuai.Dong (@_FORAB), Humanity Protocol (H) pourrait être un « projet chinois déguisé ». L’application conserverait dans sa bibliothèque de ressources des images de l’entreprise chinoise de contrôle d’accès Zhangteng Information, remettant en cause son authenticité. Des internautes affirment que la visibilité sur ses réseaux sociaux serait largement artificielle, orchestrée par des comptes du projet lui-même, et que le véritable engagement des utilisateurs est douteux.
AB Kuai.Dong a indiqué que ceux qui avaient déjà réalisé une vérification chez Humanity devaient être prudents. Zhangteng Information serait liée à une société de sous-traitance basée à Shanghai, spécialisée dans l’externalisation complète de systèmes d’identification. Par ailleurs, le lanceur d’alerte SCoin a déclaré que le projet collectait massivement les empreintes palmaires des utilisateurs, suscitant des inquiétudes quant à la vie privée et à la sécurité.
Pour un projet dont la proposition de valeur centrale est de « prouver l’humanité », ces révélations sont fatales. Le jeton H a chuté de plus de 61 % en deux jours après son lancement, passant d’environ 0,05 dollar à un creux de 0,018 dollar.
La précédente licorne du fondateur a brûlé 170 millions de dollars
Le parcours personnel de Terence Kwok ajoute également une note de risque à ce projet. En 2012, Terence Kwok, alors âgé de 20 ans, a quitté l’Université de Chicago après avoir reçu une facture d’itinérance de 900 dollars lors d’un voyage. Il a fondé Tink Labs, fournissant des smartphones gratuits (marque Handy) dans les chambres d’hôtel pour que les clients les utilisent à l’étranger et évitent les frais d’itinérance élevés.
Ce concept a séduit les marchés financiers un temps. Tink Labs a levé 170 millions de dollars auprès de Foxconn, SoftBank, Innovation Works et du fondateur de Meitu, atteignant une valorisation de 1,5 milliard de dollars et devenant la première licorne de Hong Kong. À son apogée, les appareils Handy étaient déployés dans 82 pays, couvrant 600 000 chambres d’hôtel.
Mais la stratégie d’expansion agressive de Kwok s’est rapidement heurtée à la réalité : la baisse continue des frais d’itinérance mondiale et la réticence des hôtels à payer pour les appareils Handy. L’entreprise a commencé à perdre de l’argent en 2017. Selon le Financial Times, SoftBank a coupé le financement d’un projet clé après avoir découvert que Tink Labs avait potentiellement détourné des fonds de sa coentreprise japonaise vers d’autres marchés déficitaires.
En juillet 2019, plus de 100 employés des bureaux en Europe, au Moyen-Orient et en Afrique n’ont pas reçu leur salaire. Des employés licenciés ont quitté le bureau d’Oxford en étalant du gâteau sur les murs et le sol. Le 1er août, Tink Labs a officiellement fermé, entrant en procédure de liquidation en janvier 2020. Un ancien responsable des ressources humaines a déclaré au FT que Kwok ne se souciait que de « gagner de l’argent », et que les 170 millions de dollars d’investissement s’étaient complètement évaporés.
Six ans plus tard, Kwok est revenu sur le marché avec Humanity Protocol, obtenant à nouveau une valorisation de licorne auprès de Pantera Capital et Jump Crypto.
Gestion des clés privées : un vieux problème, un nouveau prix à payer
D’après les informations actuelles, cette attaque n’implique pas de vulnérabilité dans un contrat intelligent ou un défaut de sécurité au niveau du protocole. L’attaquant s’est emparé de la clé privée d’un membre de la fondation, relevant d’un échec de sécurité gestionnaire des plus classiques.
Le contexte sécuritaire de l’industrie crypto en 2026 est déjà tendu. Selon les statistiques de CCN, au cours des quatre premiers mois de 2026, les pertes dues aux piratages DeFi ont dépassé 1 milliard de dollars, et la majeure partie des fonds volés n’a pas été récupérée. Le 1er avril, le protocole Drift a subi une attaque de 286 millions de dollars, l’incident le plus important de l’année.
Les attaquants ciblent de plus en plus les validateurs, les nœuds RPC et les systèmes de gouvernance, et pas seulement les vulnérabilités des contrats intelligents. Mais la fuite de clés privées reste l’un des types d’attaques aux conséquences les plus lourdes, car elle contourne tous les mécanismes de sécurité on-chain pour obtenir directement le contrôle des actifs.
Pour un projet déjà entaché par la controverse des 88 % d’utilisateurs robots, dont le jeton a chuté de plus de 90 % par rapport à son plus haut, un détournement de 31 millions de dollars dû à une fuite de clé privée pourrait être le coup de grâce pour la confiance.
Au moment de la rédaction, dans sa déclaration, Kwok a indiqué que l’équipe travaillait avec des experts en sécurité et des partenaires plateformes d’échange, mais n’a mentionné aucun plan d’indemnisation des utilisateurs, ni expliqué pourquoi la clé privée du membre de la fondation n’était pas protégée par des mesures de base comme la multi-signature ou l’isolation matérielle.
