Huma FinanceのV1スマートコントラクトに対する攻撃により、USDCで101,400ドルの損失が発生しました。今回の脆弱性は、ネットワーク上のDeFiプロトコルにとってすでに困難な時期に追い打ちをかけるものとなりました。この脆弱性は、web3セキュリティ企業のBlockaidによって報告されました。攻撃者は、Humaの古いV1インフラに関連するBaseCreditPoolの展開を狙いました。総損失額は、さまざまなコントラクトにまたがるUSDCおよびUSDC.eコインで約101,400ドルでした。Huma FinanceはXでこの事件を確認し、「ユーザ資金はリスクにさらされておらず、PSTには影響ありません」と述べました。チームは、Solana上で動作するV2システムはゼロから構築されたものであり、侵害されたコントラクトとはコードを共有していないと説明しました。HumaのV1の脆弱性は一つの関数にありましたこのスマートコントラクトの脆弱性は、refreshAccount()という関数内で見つかりました。これは、V1のBaseCreditPoolコントラクト内に位置する関数です。Blockaidのセキュリティ研究者がバグを特定し、X上で次のように共有しました。「バグ：refreshAccount()は、要求されたクレジットラインを無条件でGoodStandingに昇格させ、EAの承認ステップをバイパスし、引き出しを可能にしている。」refreshAccount()は、実際の検証や条件なしにアカウントを「良好な状態」とラベル付けしました。攻撃者はこの脆弱性を悪用し、プロトコルの財務プールから資金を引き出しました。損失は、Blockaidのオンチェーン分析によると、3つのコントラクトで発生しました。1つのアカウントは約82,300 USDCを失い、2つ目は約17,300 USDC.eを失い、3つ目は約1,800 USDC.eを失いました。オンチェーンデータによると、全ての攻撃は一つのトランザクション内で完了しました。暗号学的な問題はありませんでした。攻撃者は単にコントラクトの状態マシンを変更し、不正なアカウントを正当なものとして扱わせるように仕向けただけです。HumaのチームはXで、「本日早朝、HumaのレガシーV1コントラクトの脆弱性が101,400 USDCの攻撃を受けました」と書きました。続けて、「HumaのV2システムはSolana上で完全に書き直されており、この問題はV2システムには適用されません」と述べました。Humaは、攻撃が起こる前にすでにV1の運用を縮小していたと説明しています。チームはXで、「すでにすべてのレガシーV1プールの廃止手続きを進めており、現在はV1を完全に停止しています」と述べました。事件後、チームは残っていたV1コントラクトを完全に停止しました。会社は、V2でのユーザの預金は影響を受けておらず、新しいプラットフォームは引き続き正常に運用されていると伝えています。被害コントラクト：（Huma V1 BaseCreditPool – 82,315.57 USDC）（Huma V1 BaseCreditPool – 17,290.76 USDC.e）（Huma V1 BaseCreditPool – 1,783.97 USDC.e）攻撃者： エクスプロイトコントラクト：…— Blockaid (@blockaid\_) 2026年5月11日Polygonは大きな一日を迎えたCryptopolitanの最近の報告によると、今回の脆弱性は、Polygon上のWorkspace Treasury Proxyコントラクトから約14万ドルを失ったInk Financeの事件と同じ日に発生しました。攻撃者は、ホワイトリストに登録されたクレーマーアドレスに一致するコントラクトを展開し、資格確認を回避しました。両方の事件で、攻撃者はスマートコントラクトの設計におけるロジックの誤りを見つけました。2026年4月以降に連続して発生したPolygonでのこれらの攻撃は、スマートコントラクトの損失記録の中で最悪の月となる記録を更新しています。これを読んでいるあなたは、すでに先を行っています。私たちのニュースレターでそのままの状態を保ちましょう。
論理的な欠陥がHumaの古いPolygon契約から$101K を流出させる
Huma FinanceのV1スマートコントラクトに対する攻撃により、USDCで101,400ドルの損失が発生しました。今回の脆弱性は、ネットワーク上のDeFiプロトコルにとってすでに困難な時期に追い打ちをかけるものとなりました。
この脆弱性は、web3セキュリティ企業のBlockaidによって報告されました。攻撃者は、Humaの古いV1インフラに関連するBaseCreditPoolの展開を狙いました。総損失額は、さまざまなコントラクトにまたがるUSDCおよびUSDC.eコインで約101,400ドルでした。
Huma FinanceはXでこの事件を確認し、「ユーザ資金はリスクにさらされておらず、PSTには影響ありません」と述べました。チームは、Solana上で動作するV2システムはゼロから構築されたものであり、侵害されたコントラクトとはコードを共有していないと説明しました。
HumaのV1の脆弱性は一つの関数にありました
このスマートコントラクトの脆弱性は、refreshAccount()という関数内で見つかりました。これは、V1のBaseCreditPoolコントラクト内に位置する関数です。Blockaidのセキュリティ研究者がバグを特定し、X上で次のように共有しました。
「バグ：refreshAccount()は、要求されたクレジットラインを無条件でGoodStandingに昇格させ、EAの承認ステップをバイパスし、引き出しを可能にしている。」
refreshAccount()は、実際の検証や条件なしにアカウントを「良好な状態」とラベル付けしました。攻撃者はこの脆弱性を悪用し、プロトコルの財務プールから資金を引き出しました。
損失は、Blockaidのオンチェーン分析によると、3つのコントラクトで発生しました。1つのアカウントは約82,300 USDCを失い、2つ目は約17,300 USDC.eを失い、3つ目は約1,800 USDC.eを失いました。オンチェーンデータによると、全ての攻撃は一つのトランザクション内で完了しました。
暗号学的な問題はありませんでした。攻撃者は単にコントラクトの状態マシンを変更し、不正なアカウントを正当なものとして扱わせるように仕向けただけです。
HumaのチームはXで、「本日早朝、HumaのレガシーV1コントラクトの脆弱性が101,400 USDCの攻撃を受けました」と書きました。続けて、「HumaのV2システムはSolana上で完全に書き直されており、この問題はV2システムには適用されません」と述べました。
Humaは、攻撃が起こる前にすでにV1の運用を縮小していたと説明しています。チームはXで、「すでにすべてのレガシーV1プールの廃止手続きを進めており、現在はV1を完全に停止しています」と述べました。
事件後、チームは残っていたV1コントラクトを完全に停止しました。会社は、V2でのユーザの預金は影響を受けておらず、新しいプラットフォームは引き続き正常に運用されていると伝えています。
被害コントラクト：（Huma V1 BaseCreditPool – 82,315.57 USDC）（Huma V1 BaseCreditPool – 17,290.76 USDC.e）（Huma V1 BaseCreditPool – 1,783.97 USDC.e）
攻撃者：
エクスプロイトコントラクト：…
— Blockaid (@blockaid_) 2026年5月11日
Polygonは大きな一日を迎えた
Cryptopolitanの最近の報告によると、今回の脆弱性は、Polygon上のWorkspace Treasury Proxyコントラクトから約14万ドルを失ったInk Financeの事件と同じ日に発生しました。攻撃者は、ホワイトリストに登録されたクレーマーアドレスに一致するコントラクトを展開し、資格確認を回避しました。
両方の事件で、攻撃者はスマートコントラクトの設計におけるロジックの誤りを見つけました。2026年4月以降に連続して発生したPolygonでのこれらの攻撃は、スマートコントラクトの損失記録の中で最悪の月となる記録を更新しています。
これを読んでいるあなたは、すでに先を行っています。私たちのニュースレターでそのままの状態を保ちましょう。