Huma Finance 해킹: Polygon V1 레거시 풀에서 10만1천 달러 유출

Huma Finance 해킹으로 더 이상 사용되지 않는 Polygon V1 BaseCreditPool 스마트 컨트랙트에서 약 101,400달러가 유출되었습니다. Blockaid는 침해 원인을 refreshAccount()의 잘못된 계정 검증에서 추적했으며, 공격자는 계정 상태를 “GoodStanding”으로 조작한 뒤 조율된 트랜잭션을 통해 무단 drawdown()을 실행했습니다. 주요 손실은 영향을 받은 한 풀에서 약 82,315 USDC와 다른 두 컨트랙트에서 추가적인 USDC.e 잔액이었습니다. Huma는 requestCredit() 및 refreshAccount()와 같은 레거시 경로가 관련되었으며, 레거시 컨트랙트가 완전히 은퇴되지 않으면 이러한 경로가 여전히 접근 가능할 수 있다고 밝혔습니다. 중요한 점은 Huma Finance가 사용자 자금은 위험에 처하지 않았다고 주장한다는 것입니다. 더 최신의 Solana 기반 V2 인프라는 격리되어 있으며, 침해된 Polygon V1 배포와 코드를 공유하지 않습니다. 그럼에도 이번 사건은 비활성 함수, 남아있는 승인, 잔여 잔액 및 숨겨진 공격 표면 등 기술 부채로 인한 보다 광범위한 DeFi 위험을 여실히 보여줍니다. (같은 날 발생한 관련 Polygon 사건: Ink Finance는 Workspace Treasury Proxy 컨트랙트에서 약 140,000달러를 잃었습니다.) 트레이더에게 Huma Finance 해킹은 특히 레거시 컨트랙트 패턴에 의존하는 프로토콜을 중심으로 Polygon DeFi 노출에 대한 단기 경고 신호입니다.