- تم تفريغ العقود الذكية القديمة V1 الخاصة بـ Huma Finance على شبكة Polygon بقيمة 101,400 دولارًا أمريكيًا من عملة USDC.
- تقول الشركة إن أموال المستخدمين لم تكن معرضة للخطر وأن نظامها الأحدث V2 على شبكة Solana غير متأثر.
- حدثت عملية الاختراق في نفس اليوم الذي شهد عملية تفريغ منفصلة بقيمة 140,000 دولارًا لشركة Ink Finance.
أدى هجوم على العقود الذكية V1 لشركة Huma Finance على شبكة Polygon إلى خسارة 101,400 دولار أمريكي من عملة USDC. وقد زاد هذا الاختراق مما كان بالفعل وقتًا صعبًا لبروتوكولات DeFi على الشبكة.
تم الإبلاغ عن الثغرة من قبل شركة أمن الويب3 بلوكيد. استهدف المهاجم نشرات BaseCreditPool المرتبطة بالبنية التحتية الأقدم V1 الخاصة بـ Huma. بلغ إجمالي الخسارة حوالي 101,400 دولارًا أمريكيًا من عملتي USDC و USDC.e عبر عقود مختلفة.
أكدت Huma Finance الحادث على منصة X، قائلة: «لا توجد أموال مستخدمين في خطر ولا يتأثر PST». وقالت إن فريقها بنى نظام V2 الخاص بها من الصفر ويعمل على شبكة Solana، ولا يشارك أي كود مع العقود التي تم اختراقها.
كان عيب V1 الخاص بـ Huma موجودًا في دالة واحدة
تم العثور على عيب العقد الذكي داخل دالة اسمها refreshAccount(). وهي دالة تقع ضمن عقود V1 BaseCreditPool. حدد باحثو الأمن في Blockaid هذا الخطأ. لقد المشاركة معلومات إضافية على X، قائلين:
«الخطأ: تقوم الدالة refreshAccount() بتعزيز خط ائتمان مطلوب إلى حالة GoodStanding بشكل غير مشروط، متجاوزة خطوة موافقة EA وتمكين drawdown().»
refreshAccount() قاموا بتصنيف الحسابات على أنها «في حالة جيدة» دون تحقق فعلي أو شروط. واستغل المهاجم هذا العيب لسحب الأموال من صناديق مخزون البروتوكول.
كشفت التحليلات على السلسلة التي أجرتها Blockaid عن وجود الخسائر في ثلاثة عقود. فقد حساب واحد حوالي 82,300 دولار أمريكي من USDC. وخسر حساب ثاني حوالي 17,300 دولار أمريكي من USDC. أما الحساب الثالث فخسر حوالي 1,800 دولار أمريكي من USDC. ووفقًا للبيانات على السلسلة، اكتمل الهجوم بالكامل في معاملة واحدة.
لم يكن هناك مشكلة تشفيرية. بل قام المهاجم ببساطة بتغيير آلة حالة العقد للتلاعب به وجعله يعامل حسابًا غير مصرح به وكأنه شرعي.
فريق Huma كتب على X، "في وقت سابق من اليوم، تم استغلال ثغرة في عقود Huma القديمة v1 على Polygon بمبلغ 101,400 USDC." وواصلوا، "نظام Huma v2 على Solana هو إعادة كتابة كاملة وهذه المشكلة لا تنطبق على أنظمة v2."
قالت هوما إنها كانت قد بدأت بالفعل في تخفيض عمليات الإصدار الأول قبل حدوث الاختراق. وقال الفريق على منصة إكس: "كانت الفرق بالفعل في عملية إيقاف جميع أحواض الإصدار القديم، وقد أوقفت الإصدار الأول بالكامل الآن."
بعد الحادث، أوقف الفريق تمامًا جميع عقود الإصدار الأول المتبقية. وقالت الشركة إن الودائع التي قدمها المستخدمون على الإصدار الثاني لم تتأثر، وأن المنصة الأحدث تواصل العمل بشكل طبيعي.
العقود المتضررة: https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82,315.57 USDC) https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17,290.76 USDC.e) https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1,783.97 USDC.e)
الهاجم: https://t.co/S0zOa5ClJk
عقد الاختراق:...— Blockaid (@blockaid_) مايو 11، 2026
شهدت بوليجون يومًا سيئًا
وفقًا لتقرير حديث من Cryptopolitan، حدثت عملية الاستغلال في نفس اليوم الذي خسرت فيه Ink Finance ما يقرب من 140,000 دولارًا من عقدها الوكيل لخزينة Workspace على شبكة Polygon. قام المهاجم بنشر عقد يطابق عنوان مُطالب مدرج في القائمة البيضاء لتجاوز فحوصات الأهلية.
في الحالتين، وجد المهاجمون أخطاء منطقية في تصميم العقود الذكية. وتأتي سلسلة الاختراقات المتتالية على شبكة بوليجون بعد أبريل 2026، مما يضع الرقم القياسي لأسوأ شهر من الخسائر في العقود الذكية.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
الأسئلة الشائعة
كم المبلغ المسروق في اختراق هوما فاينانس؟
تم سحب حوالي 101,400 دولارًا أمريكيًا من عملة USDC وUSDC.e من عقود BaseCreditPool القديمة للإصدار الأول التابعة لهوما فاينانس على شبكة بوليجون في 11 مايو 2026.
هل أموال مستخدمي هوما فاينانس آمنة؟
أعلنت هوما فاينانس أن أموال المستخدمين ليست في خطر. ونظامها الحالي على إصدار Solana هو إعادة كتابة كاملة، ولا يؤثر ثغرة الإصدار الأول عليها.
ما الذي تسبب في الثغرة؟
كان هناك عيب منطقي في دالة `refreshAccount()` ضمن عقود BaseCreditPool للإصدار الأول قام بتحديث حالة الحساب بشكل غير صحيح دون التحقق الكافي. وهذا سمح للمهاجم بتجاوز فحوصات التفويض وسحب الأموال.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
راندا موسى
رندا موسى محررة وصحفية في كريبتوبوليتان تغطي التكنولوجيا والذكاء الاصطناعي والروبوتات والعملات الرقمية والاحتيال والاختراقات. عملت في مجال العملات الرقمية منذ عام 2017. شغلت مناصب في Forward Protocol وAmaZix وCryptosomniac. وتحمل رندا درجة البكالوريوس في الهندسة الكهربائية والإلكترونيات من جامعة برادفورد.
