- Huma Finance 在 Polygon 上的遗留 V1 智能合约被转走 101,400 USDC。
- 公司表示用户资金未受威胁，其 Solana 上的新一代 V2 系统未受影响。
- 此次漏洞攻击发生在同一天另一起涉及 Ink Finance 的 14 万美元资金被盗事件之后。
对Huma Finance在Polygon上的V1智能合约的攻击导致损失101,400 USDC。这一漏洞加剧了该网络上的DeFi协议已经面临的困难时期。
该漏洞由Web3安全公司Blockaid报告。攻击者针对与Huma较旧的V1基础设施相关的BaseCreditPool部署。总损失约为101,400美元，涉及USDC和USDC.e代币，分布在各个合约中。
Huma Finance在X上确认了这一事件，称“用户资金无风险，PST未受影响。”该团队表示，其运行在Solana上的V2系统是从头构建的，与受损合约没有共享代码。
Huma的V1缺陷位于一个函数中
智能合约缺陷发现于一个名为 refreshAccount()的函数中。该函数位于V1 BaseCreditPool合约内。Blockaid安全研究人员发现了该错误。他们 分享 在X上发布了更多信息，称：
“错误：refreshAccount()无条件地将请求的信用额度提升为良好状态，绕过EA批准步骤并启用提款（drawdown）。”
refreshAccount() 将账户标记为“良好状态”，而无需实际验证或满足条件。攻击者利用了这一缺陷，并从协议的国库池中抽走了资金。
根据Blockaid的链上分析，损失发现于三个合约中。一个账户损失了约82,300 USDC。第二个账户损失了约17,300 USDC.e。第三个账户损失了约1,800 USDC.e。根据链上数据，整个漏洞利用在一个交易中完成。
没有发生加密问题。攻击者只是更改了合约的状态机，诱使其将未经授权账户视为合法。
Huma团队在X上写道：“今天早些时候，Huma在Polygon上的遗留v1合约中存在漏洞，导致101,400 USDC被盗。”他们继续写道：“Huma在Solana上的v2系统是彻底重写，此问题不适用于v2系统。”
Huma表示，在漏洞利用发生之前，它已经在逐步停止V1运营。该团队在X上表示：“团队已经在逐步淘汰所有遗留v1池，并现已完全暂停v1。”
事件发生后，团队完全暂停了所有剩余的V1合约。公司表示，V2上的用户存款未受影响，且新平台继续正常运行。
受害合约：https://t.co/eLxi7skhsI（Huma V1 BaseCreditPool – 82,315.57 USDC）https://t.co/EnPLFdvOM8（Huma V1 BaseCreditPool – 17,290.76 USDC.e）https://t.co/prR0lxoD7L（Huma V1 BaseCreditPool – 1,783.97 USDC.e）
攻击者： https://t.co/S0zOa5ClJk
漏洞利用合约：…— Blockaid (@blockaid_) 5月 11日, 2026
Polygon度过了糟糕的一天
根据Cryptopolitan最近的一份报告，该漏洞发生在同一天，Ink Finance从其Polygon上的Workspace Treasury Proxy合约中损失了近140,000美元。攻击者部署了一个与白名单索赔者地址匹配的合约，以绕过资格检查。
在这两起事件中，攻击者在智能合约设计中发现了逻辑错误。Polygon上接连发生的漏洞利用发生在2026年4月之后，创下了智能合约损失最严重的月份纪录。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
Huma Finance 漏洞事件中损失了多少？
2026 年 5 月 11 日，Huma Finance 已弃用的 V1 BaseCreditPool 合约在 Polygon 上被转走约 101,400 USDC 和 USDC.e。
Huma Finance 的用户资金是否安全？
Huma Finance 声明用户资金无风险。其当前基于 Solana 的 V2 系统为完全重写版本，V1 的漏洞无法影响它。
漏洞是如何产生的？
V1 BaseCreditPool 合约中的 `refreshAccount()` 函数存在逻辑缺陷，在不进行充分验证的情况下错误地更新了账户状态，导致攻击者绕过授权检查并提款。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
