Humanode сообщила, что 28 октября в 15:00:42 UTC одна транзакция использовала уязвимость EVM-слоя сети и списала 12 773 243,03 eHMND с 436 счетов, включая хранилище моста ChainPort. У 281 счёта баланс обнулился. Затронуты были EVM-счета с прежними разрешениями на расходование WeHMND; нативные балансы HMND вне EVM через эту ошибку получить было нельзя.

Причина находилась в четырёх встроенных системных контрактах сети — прекомпилированных модулях для биометрической аутентификации, связи EVM- и нативных аккаунтов, работы с нативной валютой и обмена между EVM и основной системой. Они принимали вызовы DELEGATECALL и CALLCODE, поэтому код злоумышленника мог выполняться от имени вызвавшего его контракта и тратить уже выданные разрешения. Владельцам не требовалось подписывать новую операцию. DEX, TheHub и ChainPort стали путями вывода средств, но разбор не устанавливает отдельные уязвимости в каждом из этих сервисов.

В 15:40:48 UTC Humanode активировала в основной сети runtime spec 134 на блоке 20 446 186 и запретила такие вызовы для всех четырёх модулей — через 40 минут и 6 секунд после атаки. Независимая проверка публичного RPC подтвердила успешную атакующую транзакцию, время блока и переход со spec 132 на spec 134. Команда при этом продолжает аудит и ещё не завершила воспроизводимую сборку обновлённого runtime.

Злоумышленник продал 12 734 327,11 eHMND в пуле WeHMND/USDC и получил 18 804,19 USDC. Это выручка от продажи, а не оценка полного ущерба владельцев. Humanode заморозила свой DEX, мосты и LP-стейкинг на 72 часа с 20:21 UTC 28 октября, пообещала полностью возместить потерянные eHMND и восстановить пул, но сроки и порядок выплат пока не объявила. Расследованию ещё предстоит объяснить судьбу примерно 38 915,92 eHMND, точный путь через хранилище ChainPort и происхождение одного из списывающих адресов.