Huma Finance verliert 101 K USDC bei Polygon-Exploit am selben Tag wie Ink-Breach
- Die Legacy-V1-Smart Contracts von Huma Finance auf Polygon wurden um 101.400 USDC geleert.
- Das Unternehmen erklärt, dass keine Kundengelder gefährdet waren und sein neueres V2-System auf Solana unberührt bleibt.
- Der Exploit ereignete sich am selben Tag wie ein separater Diebstahl von 140.000 $ bei Ink Finance.
Ein Angriff auf die V1-Smart-Contracts von Huma Finance auf Polygon führte zu einem Verlust von 101.400 USDC. Der Exploit fügte sich in eine ohnehin schon schwierige Zeit für DeFi-Protokolle auf dem Netzwerk ein.
Der Exploit wurde von der Web3-Sicherheitsfirma Blockaid berichtet. Der Angreifer zielte auf BaseCreditPool-Deployments ab, die mit Humas älterer V1-Infrastruktur zusammenhängen. Der Gesamtverlust belief sich auf ~101.400 US-Dollar in USDC und USDC.e-Münzen über verschiedene Verträge hinweg.
Huma Finance bestätigte den Vorfall auf X und sagte: „Keine Benutzerfonds in Gefahr und PST ist nicht betroffen.“ Das Team sagte, sein V2-System, das auf Solana läuft, sei von Grund auf neu gebaut worden. Es teile keinen Code mit den kompromittierten Verträgen.
Humas V1-Schwachstelle befand sich in einer Funktion
Die Schwachstelle im Smart Contract wurde in einer Funktion namens refreshAccount()gefunden. Es handelt sich um eine Funktion, die sich innerhalb der V1 BaseCreditPool-Verträge befindet. Blockaid-Sicherheitsforscher identifizierten den Fehler. Sie teilte mehr Informationen auf X und sagten:
„Bug: refreshAccount() befördert eine angeforderte Kreditlinie bedingungslos zu GoodStanding, umgeht den EA-Genehmigungsschritt und ermöglicht drawdown().“
refreshAccount() Konten mit „gutem Standing“ ohne tatsächliche Überprüfung oder Bedingungen gekennzeichnet. Der Angreifer nutzte diese Schwachstelle aus und leerte die Treasury-Pools des Protokolls
Die Verluste wurden in drei Verträgen laut Blockaids On-Chain-Analyse gefunden. Ein Konto verlor ~82.300 USDC. Ein zweites verlor ~17.300 USDC.e. Und ein drittes Konto verlor ~1.800 USDC.e. Laut On-Chain-Daten wurde der gesamte Exploit in einer Transaktion abgeschlossen.
Es gab kein kryptografisches Problem. Der Angreifer änderte einfach den Zustandsautomaten des Vertrags, um ihn dazu zu bringen, ein unbefugtes Konto als legitim zu behandeln.
Humas Team schrieb auf X: „Heute früh wurde eine Schwachstelle in Humas Legacy-V1-Verträgen auf Polygon ausgenutzt, um 101.400 USDC zu stehlen.“ Sie fuhren fort: „Humas V2-System auf Solana ist eine vollständige Neuschreibung, und dieses Problem gilt nicht für V2-Systeme.“
Huma sagte, es habe bereits damit begonnen, die V1-Operationen vor dem Exploit abzubauen. Das Team sagte auf X: „Die Teams waren bereits im Prozess, alle Legacy-V1-Pools auszumustern, und haben V1 jetzt vollständig pausiert.“
Nach dem Vorfall pausierte das Team vollständig alle verbleibenden V1-Verträge. Das Unternehmen sagte, dass Einzahlungen der Benutzer auf V2 unberührt geblieben seien und dass die neuere Plattform weiterhin normal operiere.
Opferverträge:https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82.315,57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17.290,76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1.783,97 USDC.e)
Angreifer: https://t.co/S0zOa5ClJk
Exploit-Vertrag:…— Blockaid (@blockaid_) Mai 11, 2026
Polygon hatte einen schlechten Tag
Laut einem kürzlichen Bericht von Cryptopolitan fand der Exploit am selben Tag statt, an dem Ink Finance fast 140.000 US-Dollar aus seinem Workspace Treasury Proxy-Vertrag auf Polygon verlor. Der Angreifer setzte einen Vertrag ein, der einer freigegebenen Claimer-Adresse entsprach, um die Berechtigungsprüfungen zu umgehen.
In beiden Fällen fanden die Angreifer Logikfehler im Smart-Contract-Design. Die aufeinanderfolgenden Exploits auf Polygon kamen nach April 2026 und stellten den Rekord für den schlimmsten Monat an Smart-Contract-Verlusten auf.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Wie viel wurde bei dem Huma Finance-Exploit gestohlen?
Rund 101.400 USDC und USDC.e wurden am 11. Mai 2026 aus den inaktiven V1 BaseCreditPool-Contracts von Huma Finance auf Polygon abgezogen.
Sind die Benutzerfonds von Huma Finance sicher?
Huma Finance gab an, dass keine Kundengelder gefährdet sind. Das aktuelle V2-System auf Solana ist eine vollständige Neuentwicklung, und die V1-Schwachstelle betrifft es nicht.
Was verursachte die Sicherheitslücke?
Ein Logikfehler in der Funktion `refreshAccount()` innerhalb der V1 BaseCreditPool-Contracts hat den Status eines Kontos ohne ausreichende Validierung fälschlicherweise aktualisiert. Dies ermöglichte es dem Angreifer, Autorisierungsprüfungen zu umgehen und Gelder abzuheben.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
