Lỗi logic làm rỗng $101K từ các hợp đồng Polygon cũ của Huma

Một cuộc tấn công vào các hợp đồng thông minh V1 của Huma Finance trên Polygon đã gây thiệt hại 101.400 USDC. Sự khai thác này đã làm gia tăng những khó khăn mà các giao thức DeFi trên mạng đã phải đối mặt.

Sự khai thác được báo cáo bởi công ty an ninh web3 Blockaid. Kẻ tấn công nhắm vào các triển khai BaseCreditPool liên quan đến hạ tầng V1 cũ của Huma. Tổng thiệt hại là khoảng 101.400 đô la Mỹ trong các đồng USDC và USDC.e trên nhiều hợp đồng khác nhau.

Huma Finance xác nhận vụ việc trên X, nói rằng “Không có quỹ người dùng nào gặp rủi ro và PST không bị ảnh hưởng.” Nhóm cho biết hệ thống V2 của họ, chạy trên Solana, được xây dựng lại từ đầu. Nó không chia sẻ mã nào với các hợp đồng bị xâm phạm.

Lỗi của Huma trong V1 nằm ở một chức năng

Lỗi hợp đồng thông minh được phát hiện trong một chức năng có tên là refreshAccount(). Đây là một chức năng nằm trong các hợp đồng BaseCreditPool V1. Các nhà nghiên cứu an ninh của Blockaid đã xác định lỗi này. Họ chia sẻ thêm thông tin trên X, nói rằng:

“Lỗi: refreshAccount() thúc đẩy không điều kiện một hạn mức tín dụng yêu cầu lên trạng thái Tốt, bỏ qua bước phê duyệt EA và cho phép rút tiền.”

refreshAccount() gán cho các tài khoản trạng thái ‘tốt’ mà không xác minh hoặc điều kiện thực tế. Kẻ tấn công đã lợi dụng lỗi này và rút hết quỹ từ các kho dự trữ của giao thức.

Các thiệt hại được phát hiện trong ba hợp đồng theo phân tích chuỗi của Blockaid. Một tài khoản mất khoảng 82.300 USDC. Một tài khoản thứ hai mất khoảng 17.300 USDC.e. Và một tài khoản thứ ba mất khoảng 1.800 USDC.e. Theo dữ liệu chuỗi, toàn bộ vụ khai thác hoàn tất trong một giao dịch.

Không có vấn đề mã hóa. Kẻ tấn công chỉ đơn giản là thay đổi trạng thái của hợp đồng để lừa nó coi một tài khoản không được phép là hợp lệ.

Nhóm của Huma đã viết trên X, “Hôm nay sớm, một lỗ hổng trong các hợp đồng cũ V1 của Huma trên Polygon đã bị khai thác với số tiền 101.400 USDC.” Họ tiếp tục, “Hệ thống V2 của Huma trên Solana là một bản viết lại hoàn toàn và vấn đề này không áp dụng cho hệ thống V2.”

Huma cho biết họ đã bắt đầu giảm hoạt động của V1 trước khi vụ khai thác xảy ra. Nhóm nói trên X, “Các nhóm đã trong quá trình ngưng hoạt động tất cả các pool v1 cũ, và hiện đã tạm dừng hoàn toàn V1.”

Sau vụ việc, nhóm đã tạm dừng hoàn toàn tất cả các hợp đồng V1 còn lại. Công ty cho biết các khoản gửi của người dùng trên V2 không bị ảnh hưởng và nền tảng mới vẫn hoạt động bình thường.

Các hợp đồng bị tấn công: (Huma V1 BaseCreditPool – 82.315,57 USDC) (Huma V1 BaseCreditPool – 17.290,76 USDC.e) (Huma V1 BaseCreditPool – 1.783,97 USDC.e)

Kẻ tấn công: Hợp đồng khai thác:…

— Blockaid (@blockaid_) 11 tháng 5, 2026

Polygon ngày tồi tệ

Theo một báo cáo gần đây của Cryptopolitan, vụ khai thác diễn ra cùng ngày Ink Finance mất gần 140.000 đô la từ hợp đồng Workspace Treasury Proxy của họ trên Polygon. Kẻ tấn công đã triển khai một hợp đồng phù hợp với địa chỉ người yêu cầu được whitelisted để vượt qua kiểm tra khả năng đủ điều kiện.

Trong cả hai vụ việc, các kẻ tấn công đều phát hiện ra lỗi logic trong thiết kế hợp đồng thông minh. Các vụ khai thác liên tiếp trên Polygon sau tháng 4 năm 2026 đã lập kỷ lục về tháng có thiệt hại hợp đồng thông minh lớn nhất.

Nếu bạn đang đọc điều này, bạn đã đi trước rồi. Hãy duy trì điều đó với bản tin của chúng tôi.