Tres claves de seis. Bastó eso, el 8 de junio de 2026, para tomar el control de Humanity Protocol y llevarse más de 36 millones de dólares. El token H se desplomó casi un 90% en pocas horas. Lo absurdo es que el golpe no explotó un fallo en el código. Explotó un portátil.
Humanity Protocol no es un proyecto cualquiera. Es una blockchain layer-2 para la identidad descentralizada, rival del World de Sam Altman, que en lugar del iris escanea la palma de la mano con pruebas de conocimiento cero. Había recaudado 50 millones y una valoración de 1.100 millones, con Pantera Capital y Animoca Brands entre sus respaldos. Hace una semana H rondaba máximos históricos. Luego, el vacío.
Qué pasó, en concreto
La reconstrucción del equipo resulta casi vergonzosa por su sencillez. El portátil de un miembro de la Humanity Foundation guardaba varias claves administrativas de los puentes, todas en el mismo dispositivo. Una vez comprometido, el atacante tuvo en su poder tres de las seis claves en Ethereum y tres de las cinco en BNB Chain.
Transfirió la propiedad del contrato a una wallet propia, sustituyó el código del puente por una versión maliciosa, vació 141,2 millones de H en una sola transacción y acuñó de la nada otros 200 millones de tokens. Gran parte del botín, unos 23,7 millones, se convirtió de inmediato en Ether, vendida en exchanges descentralizados como KyberSwap y PancakeSwap.
We're aware of a security incident involving the compromise of private keys belonging to a member of the Humanity Foundation. The safety of our community is our top priority, and we want to be fully transparent about what we know.
— Humanity (@Humanityprot) June 9, 2026
As a precaution, please do NOT interact with the…
El fundador Terence Kwok confirmó la brecha en X, calificó la seguridad de la comunidad como la prioridad e invitó a no interactuar con los puentes mientras el equipo trabaja con empresas de seguridad y exchanges.
Aquí la historia se bifurca, y la segunda versión resulta más incómoda que la primera. El investigador on-chain ZachXBT no se cree el relato del equipo. Señala que todo el H se vendió en DEX y no en exchanges centralizados, un comportamiento atípico para un robo real, y apunta a la concentración del suministro en pocas manos.
The “incident” seems possibly staged I am not buying the teams story it’s a convenient way for the active MM to have exited https://t.co/rLrVCaB01u pic.twitter.com/lDMkylj4jE
— ZachXBT (@zachxbt) June 9, 2026
«No me trago la historia del equipo», escribió, refiriéndose a una forma cómoda de que el market maker activo saliera. También pidió al proyecto revelar posibles acuerdos con un market maker. El momento no ayuda: el golpe llegó pocas semanas antes del desbloqueo de tokens previsto para el 25 de junio. Robo externo o salida orquestada, para quien tenía H el resultado es idéntico. En el plano de la confianza, en cambio, cambia todo.
Qué cambia de verdad
Lo que importa no es la cifra, es el modelo. En 2026 los hackeos DeFi ya han superado los 885 millones de dólares en seis meses, y los golpes más grandes no nacen de código defectuoso sino de claves robadas. Drift perdió unos 285 millones en abril, Kelp DAO unos 292 el mismo mes. El multisig en DeFi existe justamente para evitar todo esto: repartir las claves entre personas y dispositivos distintos, de modo que ninguna máquina por sí sola pueda mover los fondos.
Guardarlas en un solo portátil anula ese propósito, tal como habíamos visto con los puentes cripto bajo asedio. Es el mismo eslabón humano débil que reaparece en los nuevos exploits asistidos por IA y en las pruebas de Anthropic sobre contratos inteligentes, y que pesa sobre los tokens construidos sobre la narrativa de identidad e inteligencia artificial.
La frontera del riesgo se ha desplazado. Ya no es la calidad del código. Son los hábitos de quienes custodian las claves. El código mejora cada año. Los procedimientos, con demasiada frecuencia, no.
