Huma Finance perde US$ 101K em exploração na Polygon no mesmo dia do vazamento da Ink
- Os contratos inteligentes legados V1 da Huma Finance na Polygon foram drenados por $101.400 em USDC.
- A empresa afirma que nenhum fundo de usuário estava em risco e seu novo sistema V2 na Solana permanece intacto.
- O exploit ocorreu no mesmo dia de uma drenagem separada de $140.000 na Ink Finance.
Um ataque aos contratos inteligentes V1 da Huma Finance na Polygon resultou em uma perda de US$ 101.400 em USDC. A exploração somou-se ao que já tem sido um momento difícil para protocolos DeFi na rede.
A vulnerabilidade foi reportada pela empresa de segurança web3 Blockaid. O atacante direcionou implantações do BaseCreditPool relacionadas à infraestrutura V1 mais antiga da Huma. A perda total foi de ~$101.400 em moedas USDC e USDC.e em vários contratos.
A Huma Finance confirmou o incidente no X, dizendo “Nenhum fundo de usuário em risco e o PST não foi impactado.” A equipe disse que seu sistema V2, que roda na Solana, foi construído do zero. Ele não compartilha código com os contratos comprometidos.
A falha do V1 da Huma estava em uma função
A falha no contrato inteligente foi encontrada dentro de uma função chamada refreshAccount(). É uma função localizada dentro dos contratos V1 BaseCreditPool. Pesquisadores de segurança da Blockaid identificaram o bug. Eles compartilhou mais informações no X, dizendo:
“Bug: refreshAccount() promove incondicionalmente uma linha de crédito Solicitada para Boa Conduta, contornando a etapa de aprovação da EA e permitindo drawdown().”
refreshAccount() rotulou contas com ‘boa conduta’ sem verificação ou condições reais. O atacante aproveitou essa falha e drenou fundos dos pools de tesouraria do protocolo
As perdas foram encontradas em três contratos de acordo com a análise on-chain da Blockaid. Uma conta perdeu ~82.300 USDC. Uma segunda perdeu ~17.300 USDC.e. E uma terceira conta perdeu ~1.800 USDC.e. De acordo com os dados on-chain, toda a exploração foi concluída em uma única transação.
Não houve problema criptográfico. O atacante apenas alterou a máquina de estados do contrato para enganá-lo, fazendo-o tratar uma conta não autorizada como legítima.
A equipe da Huma escreveu no X: “Mais cedo hoje, uma vulnerabilidade nos contratos legados v1 da Huma na Polygon foi explorada para 101.400 USDC.” Eles continuaram: “O sistema v2 da Huma na Solana é uma reescrita completa e este problema não se aplica aos sistemas v2.”
A Huma disse que já estava encerrando as operações V1 antes que a exploração ocorresse. A equipe disse no X: “As equipes já estavam no processo de descontinuar todas as pools legadas v1 e pausaram completamente o v1 agora.”
Após o incidente, a equipe pausou totalmente todos os contratos V1 restantes. A empresa disse que os depósitos dos usuários no V2 não foram tocados e que a plataforma mais recente continua operando normalmente.
Contratos vítimas:https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82.315,57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17.290,76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1.783,97 USDC.e)
Atacante: https://t.co/S0zOa5ClJk
Contrato de exploração:…— Blockaid (@blockaid_) May 11, 2026
Polygon teve um dia ruim
De acordo com um relatório recente da Cryptopolitan, a exploração ocorreu no mesmo dia em que a Ink Finance perdeu quase US$ 140.000 de seu contrato Workspace Treasury Proxy na Polygon. O atacante implantou um contrato correspondente a um endereço de reclamante na lista branca para contornar as verificações de elegibilidade.
Em ambos os incidentes, os atacantes encontraram erros de lógica no design dos contratos inteligentes. As explorações consecutivas na Polygon vêm após abril de 2026, estabelecendo o recorde do pior mês de perdas em contratos inteligentes.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
Quanto foi roubado no exploit da Huma Finance?
Cerca de $101.400 em USDC e USDC.e foram drenados dos contratos BaseCreditPool V1 descontinuados da Huma Finance na Polygon em 11 de maio de 2026.
Os fundos dos usuários da Huma Finance estão seguros?
A Huma Finance declarou que nenhum fundo de usuário está em risco. Seu atual sistema V2 na Solana é uma reescrita completa, e a vulnerabilidade do V1 não o afeta.
O que causou a vulnerabilidade?
Uma falha de lógica na função `refreshAccount()` dentro dos contratos V1 BaseCreditPool atualizou indevidamente o status de uma conta sem validação adequada. Isso permitiu que o atacante burlasse as verificações de autorização e retirasse fundos.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
