Взлом Huma Finance: $101K похищено из устаревших пулов Polygon V1

Взлом Huma Finance вывел примерно 101 400 долларов США из устаревших смарт-контрактов Polygon V1 BaseCreditPool. Blockaid проследил утечку до неверной валидации аккаунта в refreshAccount(), где злоумышленник изменил статус аккаунта на «GoodStanding», а затем через скоординированные транзакции получил возможность неавторизованного вызова drawdown(). Ключевые потери включали ~82 315 USDC из одного пострадавшего пула и дополнительные балансы USDC.e в двух других контрактах. Huma утверждает, что это было связано с устаревшими путями, такими как requestCredit() и refreshAccount(), которые могут оставаться доступными, если старые контракты не будут полностью выведены из эксплуатации. Критично, что Huma Finance настаивает, что средства пользователей не подвергались риску, поскольку её новая инфраструктура на базе Solana (V2) изолирована и не разделяет код с скомпрометированными деплойментами на Polygon V1. Тем не менее инцидент подчёркивает более широкий риск в DeFi, вызванный техническим долгом: неактивные функции, оставшиеся разрешения, остаточные балансы и скрытые поверхности атаки. (Связанный инцидент в тот же день на Polygon: Ink Finance потеряла почти 140 000 долларов США со своего контракта Workspace Treasury Proxy.) Для трейдеров взлом Huma Finance — это краткосрочный сигнал предосторожности относительно экспозиции к DeFi на Polygon, особенно для протоколов, полагающихся на устаревшие шаблоны контрактов.