- Huma FinanceのレガシーV1スマートコントラクトがPolygon上でUSDCで10万1,400ドル分流出しました。
- 同社はユーザー資金にリスクはないとし、Solana上の新しいV2システムは影響を受けていないと述べています。
- この攻撃は、別のプロジェクトであるInk Financeで14万ドルが流出したのと同じ日に行われました。
Polygon上のHuma FinanceのV1スマートコントラクトに対する攻撃により、10万1,400 USDCの損失が生じました。この悪用は、ネットワーク上のDeFiプロトコルにとってすでに困難な時期に拍車をかけました。
この脆弱性は、Web3セキュリティファームのBlockaidによって報告されました。攻撃者はHumaの古いV1インフラに関連するBaseCreditPool展開を対象としました。総損失は、様々なコントラクトにわたるUSDCおよびUSDC.eコインで約10万1,400ドルでした。
Huma FinanceはXでこの出来事を確認し、「ユーザー資金にリスクはなく、PSTも影響を受けていません」と述べました。チームは、Solana上で稼働するV2システムがゼロから構築されたものであり、侵害されたコントラクトとはコードを共有していないと述べました。
HumaのV1の欠陥は1つの関数に存在
スマートコントラクトの欠陥は、 refreshAccount()という名前の関数内部で見つかりました。これはV1 BaseCreditPoolコントラクト内に位置する関数です。Blockaidのセキュリティ研究者がバグを特定しました。彼らは 共有 Xで詳細情報を
「バグ：refreshAccount()は、EAの承認ステップをバイパスし、drawdown()を有効にするために、Requested credit lineを無条件にGoodStandingに昇格させます。」
refreshAccount() 実際の検証や条件なしに『good standing』としてアカウントをラベル付けしました。攻撃者はこの欠陥を利用し、プロトコルの treasury pools から資金を抜き取りました。
Blockaidのオンチェーン分析によると、損失は3つのコントラクトで確認されました。1つのアカウントは約82,300 USDCを失いました。2つ目は約17,300 USDC.eを失いました。3つ目のアカウントは約1,800 USDC.eを失いました。オンチェーンデータによると、全体の悪用は1つのトランザクションで完了しました。
暗号学的な問題はありませんでした。攻撃者は単にコントラクトの状態機械を変更し、認可されていないアカウントを正規のものとして扱うようにトリックをかけました。
HumaのチームはXで書き込みました、「本日早些、Polygon上のHumaのレガシーv1コントラクトの脆弱性が悪用され、10万1,400 USDCが盗まれました」と。彼らは続けます、「Solana上のHumaのv2システムは完全な書き直しであり、この問題はv2システムには適用されません。」
Humaは、悪用が発生する前にV1の運用を縮小し始めていたと述べています。チームはXで、「チームはすでにすべてのレガシーv1プールを廃止するプロセスにあり、現在はv1を完全に一時停止しています」と述べました。
事件後、チームは残りのすべてのV1コントラクトを完全に一時停止しました。同社は、V2のユーザー預金は untouched（影響を受けていない）であり、新しいプラットフォームは正常に稼働し続けていると述べました。
被害者コントラクト：https://t.co/eLxi7skhsI（Huma V1 BaseCreditPool – 82,315.57 USDC）https://t.co/EnPLFdvOM8（Huma V1 BaseCreditPool – 17,290.76 USDC.e）https://t.co/prR0lxoD7L（Huma V1 BaseCreditPool – 1,783.97 USDC.e）
攻撃者： https://t.co/S0zOa5ClJk
悪用コントラクト：…— Blockaid (@blockaid_) 5月 11日、 2026
Polygonにとって悪い日
最近Cryptopolitanからのレポートによると、この悪用は、Ink FinanceがPolygon上のWorkspace Treasury Proxyコントラクトからほぼ14万ドルを失ったのと同じ日に発生しました。攻撃者は、ホワイトリストに登録されたclaimerアドレスと一致するコントラクトを展開し、資格チェックを回避しました。
両方の事件で、攻撃者はスマートコントラクト設計の論理ミスを見つけました。2026年4月に続き、Polygonでの連続する悪用は、スマートコントラクトの損失に関する最悪の月の記録を更新しました。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
Huma Financeの攻撃でどれだけの金額が盗まれましたか？
2026年5月11日、Huma Financeの廃止されたV1 BaseCreditPoolコントラクトから約10万1,400ドル相当のUSDCおよびUSDC.eがPolygon上で流出しました。
Huma Financeのユーザー資金は安全ですか？
Huma Financeはユーザー資金にリスクはないと発表しています。現在のSolana上のV2システムは完全な書き換えであり、V1の脆弱性は影響しません。
脆弱性の原因は何でしたか？
V1 BaseCreditPoolコントラクト内の`refreshAccount()`関数に論理欠陥があり、適切な検証なしにアカウントステータスが不適切にアップグレードされました。これにより攻撃者は認証チェックを回避して資金を引き出しました。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
