Drei von sechs Schlüsseln. Mehr brauchte es am 8. Juni 2026 nicht, um die Kontrolle über Humanity Protocol zu übernehmen und mehr als 36 Millionen Dollar zu erbeuten. Der Token H stürzte innerhalb weniger Stunden um fast 90 Prozent ab. Das Absurde daran: Der Coup nutzte keinen Bug im Code aus. Er nutzte einen Laptop aus.
Humanity Protocol ist kein x-beliebiges Projekt. Es handelt sich um eine Layer-2-Blockchain für dezentrale Identität, ein Rivale von World von Sam Altman, die statt der Iris die Handfläche mit Zero-Knowledge-Beweisen scannt. Das Projekt hatte 50 Millionen eingesammelt, bei einer Bewertung von 1,1 Milliarden, mit Pantera Capital und Animoca Brands unter den Investoren. Vor einer Woche notierte H nahe seinem Allzeithoch. Dann die Leere.
Was genau passiert ist
Die Rekonstruktion des Teams ist in ihrer Einfachheit fast peinlich. Der Laptop eines Mitglieds der Humanity Foundation verwahrte mehrere administrative Bridge-Schlüssel, alle auf demselben Gerät. Nach dessen Kompromittierung hatte der Angreifer drei der sechs Schlüssel auf Ethereum in der Hand sowie drei der fünf auf BNB Chain.
Er übertrug die Kontrolle über den Vertrag auf eine eigene Wallet, ersetzte den Bridge-Code durch eine bösartige Version, entzog dem Protokoll in einer einzigen Transaktion 141,2 Millionen H und prägte aus dem Nichts weitere 200 Millionen Token. Ein Großteil der Beute, rund 23,7 Millionen, wurde umgehend in Ether getauscht und über dezentrale Börsen wie KyberSwap und PancakeSwap verkauft.
We're aware of a security incident involving the compromise of private keys belonging to a member of the Humanity Foundation. The safety of our community is our top priority, and we want to be fully transparent about what we know.
— Humanity (@Humanityprot) June 9, 2026
As a precaution, please do NOT interact with the…
Gründer Terence Kwok bestätigte den Vorfall auf X, bezeichnete die Sicherheit der Community als oberste Priorität und riet davon ab, mit den Bridges zu interagieren, während das Team mit Sicherheitsfirmen und Börsen zusammenarbeitet.
An dieser Stelle spaltet sich die Geschichte, und die zweite Version ist deutlich unbequemer als die erste. On-Chain-Ermittler ZachXBT glaubt der Darstellung des Teams nicht. Er merkt an, dass das gesamte H über DEXs verkauft wurde und nicht über zentrale Börsen, ein für einen echten Diebstahl untypisches Verhalten, und verweist auf die Konzentration des Supply in wenigen Händen.
The “incident” seems possibly staged I am not buying the teams story it’s a convenient way for the active MM to have exited https://t.co/rLrVCaB01u pic.twitter.com/lDMkylj4jE
— ZachXBT (@zachxbt) June 9, 2026
„Ich kaufe die Geschichte des Teams nicht ab", schrieb er und sprach von einer bequemen Methode, um den aktiven Market Maker aussteigen zu lassen. Zudem forderte er das Projekt auf, mögliche Vereinbarungen mit einem Market Maker offenzulegen. Das Timing hilft nicht: Der Coup ereignete sich wenige Wochen vor der für den 25. Juni geplanten Token-Freigabe. Ob externer Diebstahl oder orchestrierter Ausstieg, für alle, die H hielten, ist das Ergebnis identisch. Beim Vertrauen dagegen ändert sich alles.
Was sich wirklich ändert
Entscheidend ist nicht die Summe, sondern das Muster. Im Jahr 2026 haben DeFi-Hacks in sechs Monaten bereits die Marke von 885 Millionen Dollar überschritten, und die größten Coups entstehen nicht durch fehlerhaften Code, sondern durch gestohlene Schlüssel. Drift verlor im April rund 285 Millionen, Kelp DAO im selben Monat rund 292 Millionen. Das Multisig in der DeFi existiert genau deshalb: um die Schlüssel auf verschiedene Personen und Geräte zu verteilen, damit keine einzelne Maschine allein über die Gelder verfügen kann.
Sie auf nur einem Laptop zu halten, macht den Zweck zunichte, genau wie wir es bei den belagerten Krypto-Bridges gesehen haben. Es ist dasselbe schwache menschliche Glied, das bei den neuen KI-gestützten Exploits und bei den Smart-Contract-Tests von Anthropic wiederkehrt, und das auf Token lastet, die auf der Erzählung von Identität und künstlicher Intelligenz aufgebaut sind.
Die Grenze des Risikos hat sich verschoben. Es geht nicht mehr um die Qualität des Codes. Es geht um die Gewohnheiten derjenigen, die die Schlüssel verwahren. Der Code wird jedes Jahr besser. Die Prozesse zu oft nicht.
