Trois clés sur six. Il a suffi de cela, le 8 juin 2026, pour prendre le contrôle de Humanity Protocol et emporter plus de 36 millions de dollars. Le token H s'est effondré de près de 90% en quelques heures. Le plus absurde, c'est que le casse n'a exploité aucune faille dans le code. Il a exploité un laptop.
Humanity Protocol n'est pas un projet comme un autre. C'est une blockchain layer-2 dédiée à l'identité décentralisée, rivale du World de Sam Altman, qui scanne la paume de la main au lieu de l'iris, avec des preuves à divulgation nulle de connaissance. Le projet avait levé 50 millions de dollars et affichait une valorisation de 1,1 milliard, avec Pantera Capital et Animoca Brands parmi ses soutiens. Une semaine plus tôt, H évoluait près de ses records historiques. Puis le vide.
Ce qui s'est passé, concrètement
La reconstitution des faits par l'équipe est presque gênante tant elle est simple. Le laptop d'un membre de la Humanity Foundation abritait plusieurs clés administratives des bridges, toutes sur le même appareil. Une fois cet appareil compromis, l'attaquant s'est retrouvé avec trois des six clés sur Ethereum et trois des cinq sur BNB Chain.
Il a transféré la propriété du contrat vers son propre wallet, remplacé le code du bridge par une version malveillante, drainé 141,2 millions de H en une seule transaction et frappé du néant 200 millions de tokens supplémentaires. Une grande partie du butin, environ 23,7 millions, a été aussitôt convertie en Ether, vendue sur des exchanges décentralisés comme KyberSwap et PancakeSwap.
We're aware of a security incident involving the compromise of private keys belonging to a member of the Humanity Foundation. The safety of our community is our top priority, and we want to be fully transparent about what we know.
— Humanity (@Humanityprot) June 9, 2026
As a precaution, please do NOT interact with the…
Le fondateur Terence Kwok a confirmé la violation sur X, a qualifié la sécurité de la communauté de priorité absolue et a appelé à ne pas interagir avec les bridges pendant que l'équipe travaille avec des sociétés de sécurité et des exchanges.
C'est là que l'histoire se dédouble, et la seconde version est plus dérangeante que la première. L'enquêteur on-chain ZachXBT ne croit pas au récit de l'équipe. Il note que tout le H a été vendu sur des DEX et non sur des exchanges centralisés, un comportement atypique pour un vrai vol, et pointe du doigt la concentration de l'offre entre les mains de quelques acteurs.
The “incident” seems possibly staged I am not buying the teams story it’s a convenient way for the active MM to have exited https://t.co/rLrVCaB01u pic.twitter.com/lDMkylj4jE
— ZachXBT (@zachxbt) June 9, 2026
« Je n'achète pas l'histoire de l'équipe », a-t-il écrit, évoquant un moyen commode de faire sortir le market maker actif. Il a aussi demandé au projet de révéler d'éventuels accords avec un market maker. Le timing n'aide pas : le casse est survenu quelques semaines avant le déblocage de tokens prévu pour le 25 juin. Vol externe ou sortie orchestrée, pour les détenteurs de H le résultat est identique. Sur le plan de la confiance, en revanche, tout change.
Ce qui change vraiment
Ce qui compte n'est pas le montant, c'est le modèle. En 2026, les piratages DeFi ont déjà dépassé les 885 millions de dollars en six mois, et les plus gros coups ne naissent pas d'un code défaillant mais de clés volées. Drift a perdu environ 285 millions en avril, Kelp DAO environ 292 le même mois. Le multisig dans la DeFi existe justement pour éviter tout cela : répartir les clés entre des personnes et des appareils différents, afin qu'aucune machine seule ne puisse déplacer les fonds.
Les conserver sur un seul laptop annule cet objectif, exactement comme on l'avait vu avec les bridges crypto sous le feu des attaques. C'est le même maillon humain faible qui revient dans les nouveaux exploits assistés par l'IA et dans les tests d'Anthropic sur les smart contracts, et qui pèse sur les tokens construits sur le récit de l'identité et de l'intelligence artificielle.
La frontière du risque s'est déplacée. Ce n'est plus la qualité du code. Ce sont les habitudes de ceux qui gardent les clés. Le code s'améliore chaque année. Les procédures, trop souvent, non.
