- Polygon의 Huma Finance 레거시 V1 스마트 컨트랙트에서 USDC 101,400달러가 유출되었습니다.
- 해당 기업은 사용자 자금에 위험이 없으며 솔라나 기반 최신 V2 시스템에는 영향이 없다고 밝혔습니다.
- 이번 공격은 별도의 14만 달러 유출 사건이 발생한 Ink Finance와 같은 날 발생했습니다.
Polygon의 Huma Finance V1 스마트 계약에 대한 공격으로 101,400 USDC의 손실이 발생했다. 이 악용은 네트워크의 DeFi 프로토콜들이 이미 겪고 있는 어려운 시기에 추가된 것이다.
이 취약점은 웹3 보안 기업 블레이드가 보고했다. 공격자는 Huma의 이전 V1 인프라와 관련된 BaseCreditPool 배포를 표적으로 삼았다. 총 손실은 다양한 계약에서 USDC 및 USDC.e 코인을 합쳐 약 $101,400였다.
Huma Finance는 X에서 “사용자 자금에 위험이 없으며 PST는 영향을 받지 않았다”고 사건을 확인했다. 팀은 솔라나에서 실행되는 V2 시스템이 처음부터 구축되었으며, 침해된 계약과 코드를 공유하지 않는다고 말했다.
Huma의 V1 결함은 하나의 함수에 있었다
스마트 계약 결함은 다음 이름의 함수 내부에서 발견되었다 refreshAccount(). 이는 V1 BaseCreditPool 계약 내에 위치한 함수이다. 블레이드 보안 연구원들이 이 버그를 식별했다. 그들은 공유 X에서 추가 정보를
“버그: refreshAccount()가 요청된 신용 한도를 무조건 GoodStanding으로 승격시켜 EA 승인 단계를 우회하고 drawdown()을 가능하게 한다.”
refreshAccount() 실제 검증이나 조건 없이 ‘양호한 신용’ 계정을 표시했다. 공격자는 이 결함을 이용해 프로토콜의 재무 풀에서 자금을 인출했다
블레이드의 온체인 분석에 따르면 손실은 세 가지 계약에서 발견되었다. 한 계정은 약 82,300 USDC를 잃었고, 두 번째는 약 17,300 USDC.e를 잃었다. 그리고 세 번째 계정은 약 1,800 USDC.e를 잃었다. 온체인 데이터에 따르면 전체 악용은 한 번의 거래로 완료되었다.
암호학적 문제는 없었다. 공격자는 계약의 상태 머신을 변경하여 비인가된 계정을 합법적으로 처리하도록 속였다.
Huma 팀은 X에 글을 올렸다. “오늘早些날 Polygon의 Huma 레거시 v1 계약에서 취약점이 악용되어 101,400 USDC가 유출되었다.” 그들은 계속하여 “Solana의 Huma v2 시스템은 완전한 재작성이며 이 문제는 v2 시스템에는 적용되지 않는다”고 밝혔다.
Huma는 악용이 발생하기 전에 이미 V1 운영을 축소하고 있었다고 밝혔다. 팀은 X에 “팀들은 이미 모든 레거시 v1 풀을 종료하는 과정에 있었으며, 이제 v1을 완전히 중단했다”고 말했다.
사건 이후 팀은 남은 모든 V1 계약을 완전히 중단했다. 회사는 V2의 사용자 예금이 손상이 없었으며, 새로운 플랫폼이 정상적으로 계속 운영되고 있다고 밝혔다.
피해 계약:https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82,315.57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17,290.76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1,783.97 USDC.e)
공격자: https://t.co/S0zOa5ClJk
악용 계약:…— Blockaid (@blockaid_) 5월 11일, 2026
폴리곤의 나쁜 하루
크립토폴리탄의 최근 보고서에 따르면, 이 악용은 Ink Finance가 Polygon의 Workspace Treasury Proxy 계약에서 거의 $140,000를 잃은 날과 같은 날 발생했다. 공격자는 화이트리스트된 클레임어 주소와 일치하는 계약을 배포하여 자격 검사를 우회했다.
두 사건 모두에서 공격자는 스마트 계약 설계의 논리적 오류를 발견했다. 2026년 4월 이후 폴리곤에서 연이어 발생한 악용은 스마트 계약 손실 측면에서 최악의 달이라는 기록을 세웠다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
Huma Finance 익스플로잇으로 얼마나 탈취되었나요?
2026년 5월 11일 Polygon의 Huma Finance 폐기된 V1 BaseCreditPool 컨트랙트에서 USDC 및 USDC.e 약 101,400달러가 유출되었습니다.
Huma Finance 사용자 자금은 안전한가요?
Huma Finance는 사용자 자금에 위험이 없다고 밝혔습니다. 현재 솔라나 기반 V2 시스템은 완전히 재작성되었으며, V1 취약점은 해당 시스템과 무관합니다.
어떤 원인으로 취약점이 발생했나요?
V1 BaseCreditPool 계약의 `refreshAccount()` 함수에 논리적 결함이 있어, 계정 상태가 적절한 검증 없이 부적절하게 업그레이드되었습니다. 이로 인해 공격자가 권한 확인을 우회하여 자금을 인출할 수 있었습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
