Huma Finance pierde $101K en exploit en Polygon el mismo día que el incidente de Ink
- Los contratos inteligentes heredados V1 de Huma Finance en Polygon fueron vaciados por $101,400 en USDC.
- La empresa indica que ningún fondo de usuario estaba en riesgo y que su nuevo sistema V2 en Solana no se ha visto afectado.
- La explotación ocurrió el mismo día que otro drenaje separado de $140,000 en Ink Finance.
Un ataque a los contratos inteligentes V1 de Huma Finance en Polygon resultó en una pérdida de 101.400 USDC. La explotación se suma a lo que ya ha sido un periodo difícil para los protocolos DeFi en la red.
La vulnerabilidad fue reportada por la firma de seguridad web3 Blockaid. El atacante tomó como objetivo implementaciones de BaseCreditPool relacionadas con la infraestructura V1 más antigua de Huma. La pérdida total fue de ~$101,400 en USDC y monedas USDC.e a través de varios contratos.
Huma Finance confirmó el incidente en X, indicando: “No hay fondos de usuarios en riesgo y PST no se ve afectado”. El equipo señaló que su sistema V2, que funciona en Solana, fue construido desde cero y no comparte código con los contratos comprometidos.
El fallo V1 de Huma estaba en una función
El error del contrato inteligente se encontró dentro de una función llamada refreshAccount(). Se trata de una función ubicada dentro de los contratos V1 BaseCreditPool. Los investigadores de seguridad de Blockaid identificaron el fallo. Ellos compartió más información en X, diciendo:
“Error: refreshAccount() promueve incondicionalmente una línea de crédito Solicitada a Buena Condición, omitiendo el paso de aprobación de EA y habilitando drawdown().”
refreshAccount() etiquetaron cuentas como “de buena condición” sin verificación ni condiciones reales. El atacante aprovechó este fallo y vació las tesorerías del protocolo.
Las pérdidas se encontraron en tres contratos según el análisis on-chain de Blockaid. Una cuenta perdió ~82.300 USDC. Una segunda perdió ~17.300 USDC. Y una tercera cuenta perdió ~1.800 USDC. Según los datos on-chain, toda la explotación se completó en una sola transacción.
No hubo ningún problema criptográfico. El atacante simplemente modificó la máquina de estados del contrato para engañarlo y hacer que tratara a una cuenta no autorizada como legítima.
El equipo de Huma escribió en X: «Hoy temprano se explotó una vulnerabilidad en los contratos heredados v1 de Huma en Polygon por 101,400 USDC». Continuaron: «El sistema v2 de Huma en Solana es una reescritura completa y este problema no aplica a los sistemas v2».
Huma dijo que ya había estado reduciendo las operaciones de V1 antes de que ocurriera la explotación. El equipo indicó en X: "Los equipos ya estaban en proceso de retirar todos los pools heredados de v1, y ahora han pausado v1 por completo".
Tras el incidente, el equipo pausó completamente todos los contratos V1 restantes. La empresa señaló que los depósitos de usuarios en V2 permanecieron intactos y que la plataforma más reciente continúa operando con normalidad.
Contratos víctimas:https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82,315.57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17,290.76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1,783.97 USDC.e)
Atacante: https://t.co/S0zOa5ClJk
Contrato de explotación:...— Blockaid (@blockaid_) May 11, 2026
Polygon tuvo un día malo
Según un informe reciente de Cryptopolitan, la explotación ocurrió el mismo día en que Ink Finance perdió casi $140,000 de su contrato Workspace Treasury Proxy en Polygon. El atacante desplegó un contrato que coincidía con una dirección claimer autorizada para omitir las verificaciones de elegibilidad.
En ambos incidentes, los atacantes encontraron errores lógicos en el diseño de los contratos inteligentes. Las explotaciones consecutivas en Polygon sucedieron después de abril de 2026, estableciendo el récord del peor mes en pérdidas por contratos inteligentes.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Cuánto se robó en la explotación de Huma Finance?
Alrededor de $101,400 en USDC y USDC.e fueron drenados de los contratos BaseCreditPool V1 obsoletos de Huma Finance en Polygon el 11 de mayo de 2026.
¿Están seguros los fondos de los usuarios de Huma Finance?
Huma Finance declaró que ningún fondo de usuario está en riesgo. Su sistema actual V2 en Solana es una reescritura completa y la vulnerabilidad de V1 no lo afecta.
¿Qué causó la vulnerabilidad?
Un fallo lógico en la función `refreshAccount()` dentro de los contratos V1 BaseCreditPool actualizó incorrectamente el estado de una cuenta sin la validación adecuada. Esto permitió al atacante omitir los controles de autorización y retirar fondos.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
