Huma Finance perde 101K in un exploit su Polygon lo stesso giorno del breach di Ink
- I legacy smart contract V1 di Huma Finance su Polygon sono stati svuotati per 101.400 USDC.
- L'azienda afferma che nessun fondo utente era a rischio e il suo nuovo sistema V2 su Solana non è stato compromesso.
- L'exploit si è verificato lo stesso giorno di una separata sottrazione da 140.000 dollari su Ink Finance.
Un attacco ai contratti intelligenti V1 di Huma Finance su Polygon ha causato una perdita di 101.400 USDC. L'exploit si aggiunge a quello che è già stato un periodo difficile per i protocolli DeFi sulla rete.
L'exploit è stato segnalato dalla società di sicurezza web3 Blockaid. L'attaccante ha preso di mira le implementazioni di BaseCreditPool relative alla vecchia infrastruttura V1 di Huma. La perdita totale è stata di circa 101.400 dollari in USDC e USDC.e tra vari contratti.
Huma Finance ha confermato l'incidente su X, affermando: "Nessun fondo utente a rischio e PST non è interessato." Il team ha dichiarato che il suo sistema V2, che funziona su Solana, è stato costruito da zero. Non condivide codice con i contratti compromessi.
La vulnerabilità V1 di Huma era in una sola funzione
La falla del contratto intelligente è stata trovata all'interno di una funzione denominata refreshAccount(). È una funzione situata all'interno dei contratti V1 BaseCreditPool. I ricercatori della sicurezza di Blockaid hanno identificato il bug. Hanno ha condiviso maggiori informazioni su X, affermando:
"Bug: refreshAccount() promuove incondizionatamente una linea di credito Richiesta a GoodStanding, aggirando il passaggio di approvazione EA e consentendo drawdown()."
refreshAccount() etichettava gli account come "in buona posizione" senza verifica o condizioni effettive. L'attaccante ha sfruttato questa falla e ha svuotato i fondi dai pool di tesoreria del protocollo
Le perdite sono state trovate in tre contratti secondo l'analisi on-chain di Blockaid. Un account ha perso circa 82.300 USDC. Un secondo ha perso circa 17.300 USDC.e. E un terzo account ha perso circa 1.800 USDC.e. Secondo i dati on-chain, l'intero exploit è stato completato in una singola transazione.
Non c'era alcun problema crittografico. L'attaccante ha semplicemente modificato la macchina a stati del contratto per ingannarlo facendogli trattare un account non autorizzato come legittimo.
Il team di Huma ha scritto su X: "Iniziando oggi, una vulnerabilità nei contratti legacy v1 di Huma su Polygon è stata sfruttata per 101.400 USDC." Hanno continuato: "Il sistema v2 di Huma su Solana è una riscrittura completa e questo problema non si applica ai sistemi v2."
Huma ha dichiarato di aver già iniziato a ridurre le operazioni V1 prima che si verificasse l'exploit. Il team ha scritto su X: "I team erano già nel processo di dismissione di tutti i pool legacy v1 e hanno completamente sospeso v1 ora."
Dopo l'incidente, il team ha completamente sospeso tutti i contratti V1 rimanenti. L'azienda ha dichiarato che i depositi degli utenti su V2 non sono stati toccati e che la piattaforma più recente continua a operare normalmente.
Contratti delle vittime:https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82.315,57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17.290,76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1.783,97 USDC.e)
Attaccante: https://t.co/S0zOa5ClJk
Contratto exploit:…— Blockaid (@blockaid_) Maggio 11, 2026
Polygon ha avuto una giornata negativa
Secondo un recente rapporto di Cryptopolitan, l'exploit si è verificato lo stesso giorno in cui Ink Finance ha perso quasi 140.000 dollari dal suo contratto Workspace Treasury Proxy su Polygon. L'attaccante ha distribuito un contratto che corrispondeva a un indirizzo di richiedente nella whitelist per aggirare i controlli di idoneità.
In entrambi gli incidenti, gli attaccanti hanno trovato errori di logica nella progettazione dei contratti intelligenti. Gli exploit consecutivi su Polygon avvengono dopo l'aprile 2026, stabilendo il record per il mese peggiore di perdite di contratti intelligenti.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Quanto è stato rubato nell'exploit di Huma Finance?
Circa 101.400 USDC e USDC.e sono stati sottratti dai contratti BaseCreditPool V1 deprecati di Huma Finance su Polygon l'11 maggio 2026.
I fondi degli utenti di Huma Finance sono al sicuro?
Huma Finance ha dichiarato che nessun fondo utente è a rischio. Il suo attuale sistema V2 su Solana è una riscrittura completa e la vulnerabilità V1 non lo interessa.
Cosa ha causato la vulnerabilità?
Un errore logico nella funzione `refreshAccount()` all'interno dei contratti V1 BaseCreditPool ha aggiornato impropriamente lo stato di un account senza una validazione adeguata. Ciò ha permesso all'attaccante di bypassare i controlli di autorizzazione e prelevare fondi.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
