Hændelse med Huma Finance
En logisk fejl i Humas Legacy V1 Polygon kreditpuljer gjorde det muligt for en angriber at tømme omkring $101,400 i USDC. Humas Solana-baserede PayFi V2 og PST-token forbliver dog strukturelt upåvirkede.
Detaljer om udnyttelsen
Huma Finance har offentliggjort, at deres Legacy V1 kontrakter på Polygon blev udnyttet, hvilket resulterede i, at cirka $101,400 i USDC og USDC.e blev trukket fra gamle likviditetspuljer, der allerede var i færd med at blive afviklet. Teamet understregede, at ingen brugerindskud på deres nuværende PayFi-platform er i fare, og at Humas PST-token ikke blev påvirket.
“Huma Finance’s V1 BaseCreditPool implementeringer på Polygon blev udnyttet … for ~$101K. Total tømning: ~$101.4K (USDC + USDC.e),”
bekræftede teamet, at hændelsen var begrænset til forældede kontrakter snarere end aktive produktionsvalutaer.
Årsag til udnyttelsen
En detaljeret rapport fra Web3 sikkerhedsfirmaet Blockaid, citeret af CryptoTimes, tilskriver tabet en logisk fejl i en funktion kaldet refreshAccount inde i V1 BaseCreditPool kontrakterne, som forkert ændrede en kontos status fra “Anmodet kreditlinje” til “God status” uden tilstrækkelige kontroller. Denne fejl gjorde det muligt for angriberen at omgå adgangskontroller og trække midler fra treasury-tilknyttede puljer, som om de var en godkendt låntager.
Blockaids analyse viser, at omkring 82,315.57 USDC blev trukket fra en kontrakt (0x3EBc1), 17,290.76 USDC.e fra en anden (0x95533), og 1,783.97 USDC.e fra en tredje (0xe8926), alt sammen i en stramt orkestreret sekvens, der blev udført i en enkelt transaktion.
Reaktion fra Huma Finance
Huma oplyser, at de allerede var i færd med at udfase deres V1 likviditetspuljer på Polygon, da udnyttelsen fandt sted, og har nu fuldstændig pauset alle resterende V1 kontrakter for at forhindre yderligere risiko. I sin offentliggørelse understregede teamet, at Huma 2.0 — en tilladelsesfri, sammensat “real-yield” PayFi-platform, der blev lanceret på Solana i april 2025 med støtte fra Circle og Solana Foundation — er “en komplet genopbygning” med en anden arkitektur og ikke er forbundet med den sårbare V1-kode.
Huma 2.0’s design centrerer sig om $PST (PayFi Strategy Token), et likvidt, afkastgivende LP-token, der repræsenterer positioner i betalingsfinansieringsstrategier og kan integreres med Solana DeFi protokoller som Jupiter, Kamino og RateX.
Konklusion
For brugerne er den vigtigste pointe, at det omtrentlige tab på $101,400 USDC ramte legacy protokol-niveau likviditet snarere end individuelle tegnebøger, og at nuværende indskud og PST-positioner på Solana rapporteres som sikre. Alligevel tilføjer hændelsen endnu et eksempel til en lang liste af DeFi-udnyttelser, hvor svagheden ikke var signaturordninger, men forretningslogik i aldrende kontrakter — hvilket understreger, hvorfor teams som Huma migrerer til redesignede arkitekturer, og hvorfor brugere bør behandle “legacy” og “snart forældede” puljer med samme forsigtighed, som de forbeholder for uafprøvet kode.
