「非中央集権型ID（Decentralized Identity）」プロジェクトが、1つの秘密鍵の紛失により崩壊：Humanity Protocolにおける3,100万米ドルのセキュリティインシデントの再検討

著者：クロード、TechFlow

TechFlow編集部解説：分散型IDプロジェクト「Humanity Protocol」が本日、重大なセキュリティインシデントに見舞われました。財団メンバーの秘密鍵が漏洩したことで、17件以上の関連ウォレットが空にされ、損失額は3100万米ドルを超えています。

攻撃者はBNB Chain上で$Hトークンを1億枚増発し、継続的に売却しています。これにより、トークン価格は約0.73米ドルから0.05米ドル付近まで暴落しました。チェーン上調査員のZachXBT氏は、この事件について「意図的に演出された可能性がある」と公に疑問を呈しており、コミュニティは創設者テレンス・クォック氏の過去の起業経歴——投資家から調達した1.7億米ドルをすべて使い果たしたという「黒歴史」——に矛先を向け始めています。

Humanity Protocolの$Hトークンは、過去12時間で破滅的な下落を経験しました。

The Blockおよび複数メディアの報道によると、2026年6月9日未明（UTC）、チェーン上アナリストのSpecter氏が、Humanity Protocolに関連するウォレットが体系的に盗難に遭っていることを初めて発見しました。その後、創設者テレンス・クォック氏がX（旧Twitter）上で公式に確認しました。「Humanity Foundation」のメンバーの秘密鍵が漏洩し、攻撃者がこれを利用して複数の財団関連ウォレットを乗っ取ったと述べています。

記事執筆時点でのCoinGeckoデータによると、$Hの24時間変動率は約89％の下落で、事件発生前の約0.73米ドルから0.13米ドル付近まで急落。一時的低値は0.05米ドルにまで達しました。プロジェクトの完全希薄化評価額（Fully Diluted Valuation）は、約73億米ドルから約12億米ドルへと縮小しました。

17件のウォレットが空にされ、攻撃者がBSC上で1億枚のトークンを増発

チェーン上データによると、攻撃者は少なくとも17件の$Hトークン保有ウォレットから資金を盗み出し、当初の500万米ドルの損失は、速やかに3100万米ドルを超える規模に拡大しました。DropsTabが引用したSpecter氏の追跡データによれば、そのうち約2370万米ドル分がETHに換金され、約790万米ドル分は依然として$Hの形で保有されています。

さらに破壊的なのは、攻撃者がBNB Chain上で実施した操作です。セキュリティ機関Blockaidは、攻撃者がBSC上の$Hトークンのプロキシ管理者権限（proxy admin）を取得したと監視しています。UTC時間02:02～02:09の間に、ゼロアドレス（null address）から合計100,000,005枚の$Hが新規にミントされました。ミント時の価格で換算すると、約1140万米ドル相当です。これらの新規トークンは直ちにPancakeSwapやKyber NetworkなどのDEXで売却され、BNBと交換されました。これにより、さらなる売り圧力が生じました。

Cointelegraphの報道によると、Arkham Intelligenceは関連アドレスを「Humanity Protocol Exploiter」（Humanity Protocolを悪用した実行者）としてラベル付けし、チェーン上追跡は現在も継続中です。Humanityはユーザーに対し、クロスチェーンブリッジおよび流動性プールとのすべてのインタラクションを一時停止するよう要請し、Humanity Protocolのコントラクトに対する承認（approval）を撤回することを推奨しています。

ZachXBTが公然と疑問：「この事件は意図的に演出された可能性がある」

公式見解では今回の事件は「秘密鍵の漏洩」と定義されていますが、この説明はチェーン上調査員による公然の反論に直面しています。

著名なチェーン上探偵ZachXBT氏は、事件発覚後に投稿し、「この事件は意図的に演出された可能性がある（possibly staged）。私はチームの説明を信用しない」と述べました。彼は以下の3点の疑問を指摘しています：① $HはCEXではなくDEXを通じて売却されており、これは典型的なハッカーによる資金移転パターンとは異なる；② また、コアチームのメンバー3名はいずれも過去に訴訟、財務詐欺、または不適切な経営に関する記録を有しています。

独立系アナリストのElton氏によるチェーン上分析は、より具体的な技術的手がかりを提供しています。すなわち、攻撃者のウォレットは事件発生の数週間前からすでに資金注入を受けており、ミント権限は既に「ウォームアップ」済みだったこと、さらに2つのチェーンにおける売却行動には調整の痕跡が認められることです。Elton氏は、こうしたパターンは「内部関係者、あるいは長期間にわたり漏洩した秘密鍵を所持していた外部攻撃者」と一致すると考えています。

ただし、上記の疑念はあくまで推測であり、現時点で内部による操作であることを裏付ける確固たる証拠は存在しません。Humanityチームによる正式な事後報告書は、まだ発表されていません。

タイミングへの疑問：機関が直前に大量購入、トークン解放が目前——「ハッカー」がまさにその瞬間に登場

コミュニティの疑念の焦点は、事件が発生したタイミングにあります。

チェーン上アナリストのAi姉（@ai_9684xtpa）氏が以前から監視していたところによると、事件発生のわずか4日前（6月5日）、デジタル資産カストディアンHex Trustと関連するアドレスが、4時間以内に7223万枚の$Hを購入し、約4200万米ドル相当（流通供給量の2.55％）に達しました。この買い入れは、Humanity Foundationが4月に行ったトークン解放スケジュールの変更後に発生しました。この変更では、初期投資家が70％の割引でトークンを一括早期受け取り可能となり、その日付は6月26日に設定されています。

Ai姉氏は事件発生後のコメントで、「Hex Trust関連実体がまさに今、大量に$Hを買い増ししたばかり、そしてトークン解放は目前。さらにプロジェクト側はOTCでトークンを買い戻している最中に、今日いきなりハッカー攻撃が発生し、$Hのチェーン上価格はほぼゼロに近づいた」と述べています。

CryptoRankのデータによると、$Hの6月予定解放規模は約7240万米ドルで、当月で2番目に大きな解放イベントでした。

こうした偶然は、直接的な結論を導くものではありませんが、コミュニティの信頼が深刻に損なわれている理由を十分に説明できます。

創設者の黒歴史：Tink Labsは1.7億米ドルを調達した後、破産清算へ

Humanity Protocolに対する信頼危機は、今回が初めてではありません。

KuCoinニュースがOdaily星球日报を引用して報じたところによると、創設者テレンス・クォック氏は20歳のときに香港のスマートフォン賃貸会社「Tink Labs」を設立。富士康、ソフトバンク、创新工场などから約1.7億～2億米ドルを調達し、評価額は一時期15億米ドルに達し、香港初のユニコーン企業となりました。

しかし、2017年以降は継続的な赤字が続き、2019年7月には欧州で100人以上の従業員が給与を受け取れず、同年8月1日に会社は正式に閉鎖。2020年1月には破産清算手続きに入りました。英フィナンシャル・タイムズ紙の報道によると、元人事責任者はクォック氏について「金儲けだけを重視していた」と語り、投資家から調達した1.7億米ドルは「すべて消失した」と述べています。

それから6年後、クォック氏は掌紋認識＋ゼロ知識証明を活用した「分散型ID」を謳うHumanity Protocolで再び市場に参入。Pantera CapitalとJump Cryptoが主導するシリーズAラウンドで、再びユニコーン評価（約11億米ドル）を獲得しました。

HTX Insightsが引用した調査では、財団代表のマリオ・ナワファル氏が、かつて従業員への給与未払い、不適切な資金調達、および内部告発者への脅迫といった容疑で告発されていたことも明らかにされています。ZachXBT氏は、コアチームの4人の指導者の中でも3人が過去に論争を起こしていると指摘しています。

チームはすでに新プロジェクト「Everything」の育成を開始——コミュニティの懸念はさらに高まる

公開報道によると、Humanityのコアチームはすでに「Everything」という新プロジェクトに参加しています。

Everythingは1月26日に690万米ドルのシードラウンドを完了。主導投資家はHumanity Investments（Humanity傘下のベンチャーキャピタル部門）で、その他にAnimoca Brands、Hex Trust、WallStreetBets創設者ジェイミー・ロゴジンスキー氏、Three Point Capitalなどが参加しています。

この情報は、$Hの暴落後にコミュニティによって再び掘り起こされました。一部報道では、いわゆる「ハッカー攻撃」は、チームが旧プロジェクトを意図的に放棄し、新たなプロジェクトへ資源を集中させるための退出戦略である可能性が示唆されています。この推測には、現時点でチェーン上での裏付けとなる証拠は存在しませんが、Humanity InvestmentsがEverythingを直接主導投資したという事実は、客観的に利益相反の印象を強めています。

秘密鍵管理の単なる不注意か、それとも意図的な行為か？

CoinDeskの報道によると、今回の事件は2026年の暗号資産業界におけるセキュリティ事故の主要なパターンに合致しています。すなわち、最大の損失は欠陥のあるスマートコントラクトコードではなく、盗まれた秘密鍵から生じています。CCNのデータによると、2026年前半4ヶ月間におけるDeFiハッキングによる損失総額はすでに10億米ドルを超え、大多数の盗まれた資金は未だ回収されていません。

「分散型本人確認（Decentralized Identity Verification）」を核とするプロジェクトが、たった1つの秘密鍵の漏洩によって破滅的な打撃を受けるという皮肉は、言うまでもありません。Blockaidは、今回の攻撃はスマートコントラクトの脆弱性やプロトコルレベルのセキュリティ欠陥を含まず、純粋に鍵管理の失敗によるものであると確認しています。

記事執筆時点では、バイナンスのペリペタル契約（永続先物）における$H/USDTの価格は約0.068米ドル（下落率約91％）、Bybitの現物市場では約0.15米ドルとなっています。取引所ごとに価格が大きく乖離（デアンカー）しています。24時間の集計取引高は約5.99億米ドルで、流通時価総額の約2.7倍に相当し、これは事件駆動型の強制的な再評価であり、通常の取引活動によるものではありません。

事件はなお進行中です。攻撃者のアドレスには依然として一部の$Hが保有されており、BSC上で新規にミントされたトークンの処理方針は未定です。これらの重要な問題に対して明確な回答が出るまでは、BSC上で新規にミントされたトークンの処理方針は未定です。

ただし、チェーン上のさらなるデータは、秘密鍵漏洩アドレスの操作が「単なる不注意」として説明するのは極めて困難であることを示唆しています。チェーン上アナリストの余燼氏（Yujin）は次のように指摘しています：

ハッカーが増発した1億枚の$Hを除いて、それより数時間前に売却された2億枚以上の$Hは、2週間前にトークン解放を受けたウォレットおよび11か月前にトークンを受領したウォレット、合計約300件のウォレットから集約・売却されたものである。さらに、これらのウォレットは3週間前にGateおよびBybitからガス代（Gas）をそれぞれのアドレスに引き出していた。

Humanity Protocolの公式な事後報告書はまだ発表されていません。チェーン上で検証可能な回答が得られるまでは、「ハッカー攻撃」という定義づけは時期尚早です。