Huma Finance perd 101 K$ dans une exploitation sur Polygon le même jour que la brèche d’Ink
- Les contrats intelligents hérités de la V1 de Huma Finance sur Polygon ont été vidés pour 101 400 $ en USDC.
- L'entreprise affirme qu'aucun fonds utilisateur n'était en danger et que son nouveau système V2 sur Solana n'est pas affecté.
- L'exploitation a eu lieu le même jour qu'un autre détournement de 140 000 $ sur Ink Finance.
Une attaque sur les contrats intelligents V1 de Huma Finance sur Polygon a entraîné une perte de 101 400 USDC. L’exploitation s’ajoute à ce qui a déjà été une période difficile pour les protocoles DeFi sur ce réseau.
L’exploitation a été signalée par la firme de sécurité web3 Blockaid. L’attaquant a ciblé les déploiements de BaseCreditPool liés à l’ancienne infrastructure V1 de Huma. La perte totale s’élevait à environ 101 400 $ en USDC et en pièces USDC.e sur divers contrats.
Huma Finance a confirmé l’incident sur X, déclarant : « Aucun fonds utilisateur n’est en danger et PST n’est pas impacté. » L’équipe a indiqué que son système V2, qui fonctionne sur Solana, a été construit à partir de zéro. Il ne partage aucun code avec les contrats compromis.
La faille V1 de Huma résidait dans une seule fonction
La faille du contrat intelligent a été trouvée dans une fonction nommée refreshAccount(). Il s’agit d’une fonction située dans les contrats V1 BaseCreditPool. Les chercheurs en sécurité de Blockaid ont identifié le bug. Ils partagé ont fourni plus d’informations sur X, déclarant :
« Bug : refreshAccount() promeut inconditionnellement une ligne de crédit demandée au statut de GoodStanding, contournant l’étape d’approbation de l’EA et permettant drawdown(). »
refreshAccount() ont étiqueté les comptes avec le statut de « bonne standing » sans vérification réelle ni conditions. L’attaquant a profité de cette faille et a vidé les fonds des pools de trésorerie du protocole
Les pertes ont été trouvées dans trois contrats selon l’analyse on-chain de Blockaid. Un compte a perdu environ 82 300 USDC. Un deuxième a perdu environ 17 300 USDC.e. Et un troisième compte a perdu environ 1 800 USDC.e. Selon les données on-chain, l’ensemble de l’exploitation a été réalisé en une seule transaction.
Il n’y avait aucun problème cryptographique. L’attaquant a simplement modifié la machine à états du contrat pour le tromper et lui faire traiter un compte non autorisé comme légitime.
L’équipe de Huma a écrit sur X : « Plus tôt aujourd’hui, une vulnérabilité dans les contrats legacy v1 de Huma sur Polygon a été exploitée pour 101 400 USDC. » Ils ont continué : « Le système v2 de Huma sur Solana est une réécriture complète et ce problème ne s’applique pas aux systèmes v2. »
Huma a déclaré qu’il avait déjà entamé la réduction des opérations de la V1 avant l’exploitation. L’équipe a déclaré sur X : « Les équipes étaient déjà en train de mettre fin à tous les pools hérités de la v1, et ont complètement suspendu la v1 désormais. »
Après l’incident, l’équipe a entièrement suspendu tous les contrats V1 restants. L’entreprise a indiqué que les dépôts des utilisateurs sur la V2 n’avaient pas été touchés et que la nouvelle plateforme continuait de fonctionner normalement.
Contrats victimes :https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82 315,57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17 290,76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1 783,97 USDC.e)
Attaquant : https://t.co/S0zOa5ClJk
Contrat d’exploitation :…— Blockaid (@blockaid_) Mai 11, 2026
Polygon a eu une mauvaise journée
Selon un rapport récent de Cryptopolitan, l’exploitation a eu lieu le même jour qu’Ink Finance a perdu près de 140 000 $ depuis son contrat Workspace Treasury Proxy sur Polygon. L’attaquant a déployé un contrat correspondant à une adresse de réclamant sur liste blanche pour contourner les vérifications d’éligibilité.
Dans les deux incidents, les attaquants ont trouvé des erreurs de logique dans la conception des contrats intelligents. Les exploitations en série sur Polygon surviennent après avril 2026, établissant le record du mois le plus coûteux en pertes de contrats intelligents.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Quel montant a été volé lors de l'exploitation de Huma Finance ?
Environ 101 400 $ en USDC et USDC.e ont été détournés des contrats BaseCreditPool V1 obsolètes de Huma Finance sur Polygon le 11 mai 2026.
Les fonds des utilisateurs de Huma Finance sont-ils en sécurité ?
Huma Finance a indiqué qu'aucun fonds utilisateur n'était en danger. Son système actuel V2 sur Solana est une réécriture complète et la vulnérabilité de la V1 ne l'affecte pas.
Quelle est la cause de la vulnérabilité ?
Un défaut logique dans la fonction `refreshAccount()` au sein des contrats V1 BaseCreditPool mettait à jour incorrectement le statut d'un compte sans validation adéquate, permettant à l'attaquant de contourner les vérifications d'autorisation et de retirer des fonds.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
