نقص منطقی 101 هزار دلار از قراردادهای قدیمی Polygon Huma تخلیه می کند

حمله به قراردادهای هوشمند V1 Huma Finance در Polygon منجر به ضرر 101400 دلار USDC شد. این اکسپلویت به دوران سختی برای پروتکل های DeFi در شبکه اضافه شد. این سوء استفاده توسط شرکت امنیتی web3 Blockaid گزارش شده است. مهاجم استقرار BaseCreditPool مربوط به زیرساخت قدیمی V1 Huma را هدف قرار داد. مجموع ضرر 101400 دلار در سکه USDC و USDC.e در قراردادهای مختلف بود. Huma Finance این حادثه را در X تایید کرد و گفت: "هیچ وجه کاربر در خطر نیست و PST تحت تاثیر قرار نمی گیرد." این تیم گفت که سیستم V2 آن که روی Solana اجرا می شود، از ابتدا ساخته شده است. هیچ کدی با قراردادهای در معرض خطر به اشتراک نمی گذارد. نقص V1 Huma در یک تابع بود نقص قرارداد هوشمند در داخل تابعی به نام refreshAccount () یافت شد. تابعی است که در قراردادهای V1 BaseCreditPool قرار دارد. محققان امنیتی Blockaid باگ را شناسایی کردند. آنها اطلاعات بیشتری را در مورد X به اشتراک گذاشتند و گفتند: "اشکال: refreshAccount() بدون قید و شرط یک خط اعتباری درخواستی را به GoodStanding ارتقا می دهد، مرحله تایید EA را دور می زند و Drawdown() را فعال می کند." refreshAccount () با برچسب "وضعیت خوب" بدون تأیید یا شرایط واقعی. مهاجم از این نقص استفاده کرد و وجوه را از مخازن خزانه پروتکل تخلیه کرد. طبق تجزیه و تحلیل زنجیره ای Blockaid، ضرر در سه قرارداد پیدا شد. یک حساب از دست رفته ~ 82300 USDC. یک ثانیه از دست رفته ~ 17300 USDC.e. و حساب سوم 1800 USDC.e را از دست داد.با توجه به داده های زنجیره ای، کل اکسپلویت در یک تراکنش کامل شد. مشکل رمزنگاری وجود نداشت. مهاجم فقط ماشین دولتی قرارداد را تغییر داد تا آن را فریب دهد تا حساب غیرمجاز را قانونی تلقی کند. تیم Huma در X نوشت: «اوایل امروز یک آسیب‌پذیری در قراردادهای نسخه ۱ قدیمی Huma در Polygon برای 101400 USDC مورد سوء استفاده قرار گرفت. آنها ادامه دادند: "سیستم v2 Huma در Solana یک بازنویسی کامل است و این موضوع برای سیستم های v2 صدق نمی کند." Huma گفت که قبلاً عملیات V1 را قبل از وقوع سوءاستفاده متوقف کرده بود. تیم در X گفت: "تیم ها قبلاً در حال غروب تمام استخرهای قدیمی v1 بودند و اکنون نسخه 1 را به طور کامل متوقف کرده اند." پس از این حادثه، تیم تمام قراردادهای V1 باقی مانده را به طور کامل متوقف کرد. این شرکت گفت که سپرده های کاربران در V2 دست نخورده است و پلت فرم جدیدتر به طور عادی به کار خود ادامه می دهد. قراردادهای قربانی: https://t.co/eLxi7skhsI (Huma V1 BaseCreditPool – 82,315.57 USDC)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17,290.76 USDC.e)https://t.co/EnPLFdvOM8 (Huma V1 BaseCreditPool – 17,290.76 USDC.e)https7LRXaL BaseCreditPool – 1,783.97 USDC.e) مهاجم: https://t.co/S0zOa5ClJk قرارداد اکسپلویت:… — Blockaid (@blockaid_) 11 مه 2026 Polygon روز بدی را پشت سر گذاشت، طبق گزارش اخیر Cryptopolitan، 40 دلار از دست رفته در روز 100 دلاری Finance در همان روز 100 دلاری از دست رفته بود.