عيب منطقي يستهلك $101K من عقود هُما القديمة على بوليجون

هجوم على عقود ذكية من الجيل الأول لـ Huma Finance على شبكة Polygon أسفر عن خسارة قدرها 101,400 دولار من USDC. أضاف الاستغلال إلى فترة صعبة بالفعل على بروتوكولات التمويل اللامركزي على الشبكة.

تم الإبلاغ عن الاستغلال من قبل شركة أمن الويب3 Blockaid. استهدف المهاجم عمليات نشر BaseCreditPool المتعلقة بالبنية التحتية القديمة من الجيل الأول لـ Huma. كانت الخسارة الإجمالية حوالي 101,400 دولار من عملات USDC و USDC.e عبر عقود مختلفة.

أكدت Huma Finance الحادث على منصة X، قائلة: “لا توجد أموال للمستخدمين في خطر و PST غير متأثر.” وقال الفريق إن نظام الجيل الثاني الخاص بهم، الذي يعمل على سولانا، تم بناؤه من الصفر. ولا يشارك بأي رمز مع العقود المخترقة.

كان خلل الجيل الأول من Huma في وظيفة واحدة

تم العثور على خلل في العقد الذكي داخل وظيفة تسمى refreshAccount(). إنها وظيفة تقع ضمن عقود BaseCreditPool من الجيل الأول. حدد باحثو أمن Blockaid الخطأ. وشاركوا مزيدًا من المعلومات على X، قائلين:

“الخطأ: refreshAccount() يرفع بشكل غير مشروط خط الائتمان المطلوب إلى وضع جيد، متجاوزًا خطوة موافقة EA وممكنًا السحب.”

كانت وظيفة refreshAccount() تصنف الحسابات على أنها “وضع جيد” دون تحقق فعلي أو شروط. استغل المهاجم هذا الخلل وسحب أموال من خزائن البروتوكول.

تم العثور على الخسائر في ثلاثة عقود وفقًا لتحليل Chain الخاص بـ Blockaid. فقد حساب واحد حوالي 82,300 USDC. وخسر حساب ثانٍ حوالي 17,300 USDC.e. وخسر حساب ثالث حوالي 1,800 USDC.e. ووفقًا لبيانات السلسلة، اكتمل الاستغلال بالكامل في معاملة واحدة.

لم تكن هناك مشكلة تشفيرية. فقط غير المهاجم حالة الحالة في العقد لخداعه ليعامل حساب غير مصرح به على أنه شرعي.

كتب فريق Huma على X: “في وقت سابق اليوم، تم استغلال ثغرة في عقود الجيل الأول القديمة لـ Huma على Polygon بمبلغ 101,400 USDC.” وأضافوا: “نظام الجيل الثاني الخاص بـ Huma على سولانا هو إعادة كتابة كاملة، وهذه المشكلة لا تنطبق على أنظمة الجيل الثاني.”

قالت Huma إنها كانت قد بدأت بالفعل في تقليل عمليات الجيل الأول قبل وقوع الاستغلال. وقال الفريق على X: “كانت الفرق بالفعل في عملية إيقاف جميع برك الجيل الأول القديمة، وتم إيقاف الجيل الأول تمامًا الآن.”

بعد الحادث، أوقف الفريق جميع العقود المتبقية من الجيل الأول بشكل كامل. وقالت الشركة إن ودائع المستخدمين على الجيل الثاني لم تتأثر وأن المنصة الأحدث لا تزال تعمل بشكل طبيعي.

عقود الضحايا: (Huma V1 BaseCreditPool – 82,315.57 USDC) (Huma V1 BaseCreditPool – 17,290.76 USDC.e) (Huma V1 BaseCreditPool – 1,783.97 USDC.e)

المهاجم: عقد الاستغلال:…

— Blockaid (@blockaid_) 11 مايو 2026

يوم سيء لشبكة Polygon

وفقًا لتقرير حديث من Cryptopolitan، وقع الاستغلال في نفس اليوم الذي خسرت فيه Ink Finance ما يقرب من 140,000 دولار من عقد Workspace Treasury Proxy على Polygon. قام المهاجم بنشر عقد مطابق لعنوان طالب التصريح المدرج في القائمة البيضاء لتجاوز فحوصات الأهلية.

في كلا الحادثين، وجد المهاجمون أخطاء منطقية في تصميم العقود الذكية. تأتي عمليات الاستغلال المتتالية على Polygon بعد أبريل 2026، مما يضعها في سجل أسوأ شهر من خسائر العقود الذكية.

إذا كنت تقرأ هذا، فأنت بالفعل في المقدمة. ابقَ هناك مع نشرتنا الإخبارية.