Huma Finance теряет 101 тыс. долларов в результате эксплойта на Polygon в тот же день, что и взлом Ink
- Устаревшие смарт-контракты V1 Huma Finance на сети Polygon были опустошены на сумму $101 400 в USDC.
- Компания заявляет, что средства пользователей не находились под угрозой, а её новая система V2 в Solana не затронута.
- Эксплуатация произошла в тот же день, что и отдельная утечка средств на сумму $140 000 в Ink Finance.
Атака на смарт-контракты V1 Huma Finance на Polygon привела к потере 101 400 USDC. Эксплойт добавил к тому, что уже было трудным временем для протоколов DeFi в сети.
Эксплойт был сообщен веб3-компанией по безопасности Blockaid. Атакующий нацелился на развертывания BaseCreditPool, связанные со старой инфраструктурой V1 Huma. Общая потеря составила ~101 400 долларов в USDC и USDC.e монетах по различным контрактам.
Huma Finance подтвердила инцидент в X, заявив: «Фонды пользователей не под угрозой, и PST не затронут». Команда сказала, что ее система V2, работающая на Solana, была построена с нуля. Она не имеет общего кода с скомпрометированными контрактами.
Уязвимость V1 Huma была в одной функции
Уязвимость смарт-контракта была найдена внутри функции, названной refreshAccount(). Это функция, расположенная внутри контрактов V1 BaseCreditPool. Исследователи безопасности Blockaid выявили ошибку. Они подел предоставили больше информации в X, сказав:
«Ошибка: refreshAccount() безоговорочно продвигает запрошенную кредитную линию до GoodStanding, обходя шаг одобрения EA и позволяя drawdown()».
refreshAccount() помечали аккаунты как «с хорошей репутацией» без фактической проверки или условий. Атакующий воспользовался этой уязвимостью и вывел средства из казначейских пулов протокола
Потери были найдены в трех контрактах согласно анализу Blockaid в блокчейне. Один аккаунт потерял ~82 300 USDC. Второй потерял ~17 300 USDC.e. И третий аккаунт потерял ~1 800 USDC.e. Согласно данным блокчейна, весь эксплойт был завершен в одной транзакции.
Не было криптографической проблемы. Атакующий просто изменил конечный автомат контракта, чтобы обмануть его и заставить рассматривать несанкционированный аккаунт как легитимный.
Команда Huma написала в X: «Ранее сегодня уязвимость в устаревших контрактах v1 Huma на Polygon была использована для вывода 101 400 USDC». Они продолжили: «Система Huma v2 на Solana является полной переработкой, и эта проблема не относится к системам v2».
Huma сказала, что уже сворачивала операции V1 до того, как произошел эксплойт. Команда сказала в X: «Команды уже были в процессе закрытия всех устаревших пулов v1 и полностью приостановили v1 сейчас».
После инцидента команда полностью приостановила все оставшиеся контракты V1. Компания сказала, что депозиты пользователей на V2 не были затронуты, и что новая платформа продолжает работать нормально.
Пострадавшие контракты:https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82 315,57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17 290,76 USDC.e)https://t.co/prR0lxoD7L (Huma V1 BaseCreditPool – 1 783,97 USDC.e)
Атакующий: https://t.co/S0zOa5ClJk
Контракт эксплойта:…— Blockaid (@blockaid_) мая 11, 2026
Polygon пережил плохой день
Согласно недавнему отчету Cryptopolitan, эксплойт произошел в тот же день, когда Ink Finance потеряла почти 140 000 долларов из своего контракта Workspace Treasury Proxy на Polygon. Атакующий развернул контракт, соответствующий адресу заявщика из белого списка, чтобы обойти проверки на право eligibility.
В обоих инцидентах атакующие нашли логические ошибки в дизайне смарт-контрактов. Последовательные эксплойты на Polygon произошли после апреля 2026 года, установив рекорд худшего месяца потерь смарт-контрактов.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Сколько было украдено в результате эксплуатации Huma Finance?
Около $101 400 в USDC и USDC.e было похищено из устаревших контрактов BaseCreditPool V1 Huma Finance в сети Polygon 11 мая 2026 года.
Находятся ли средства пользователей Huma Finance в безопасности?
Huma Finance заявила, что средства пользователей не находятся под угрозой. Её текущая система V2 в Solana представляет собой полную переработку, и уязвимость V1 не затрагивает её.
Что вызвало уязвимость?
Логическая ошибка в функции `refreshAccount()` внутри контрактов BaseCreditPool V1 привела к некорректному обновлению статуса аккаунта без надлежащей проверки. Это позволило злоумышленнику обойти проверки авторизации и вывести средства.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
