ロジックの欠陥により、HumaのPolygon旧コントラクトから$101Kが流出

PolygonにおけるHuma FinanceのV1スマートコントラクトへの攻撃により、101,400 USDCの損失が発生しました。このエクスプロイトは、ネットワーク上のDeFiプロトコルにとってすでに困難な時期にさらなる打撃を与えました。

このエクスプロイトは、web3セキュリティ企業Blockaidによって報告されました。攻撃者はHumaの旧V1インフラに関連するBaseCreditPoolのデプロイメントを標的にしました。さまざまなコントラクトにわたり、USDCおよびUSDC.eコインで合計約101,400 USDCの損失が発生しました。

Huma Financeはこの事態をXで確認し、「ユーザー資金に危険はなく、PSTへの影響もありません」と述べました。チームは、Solana上で稼働するV2システムはゼロから構築されたものであり、侵害されたコントラクトとコードを共有していないと述べました。

HumaのV1の欠陥は1つの関数に存在した

スマートコントラクトの欠陥は、refreshAccount()という名前の関数内で発見されました。これはV1 BaseCreditPoolコントラクト内に存在する関数です。Blockaidのセキュリティ研究者がこのバグを特定し、Xでさらに詳しい情報を共有しました：

refreshAccount()は、実際の検証や条件なしにアカウントに「良好な状態」のラベルを付与していました。攻撃者はこの欠陥を悪用し、プロトコルのトレジャリープールから資金を流出させました。

Blockaidのオンチェーン分析によると、損失は3つのコントラクトで確認されました。1つ目のアカウントで約82,300 USDC、2つ目で約17,300 USDC.e、3つ目のアカウントで約1,800 USDC.eが失われました。オンチェーンデータによると、エクスプロイト全体は1トランザクションで完了しました。

暗号的な問題ではありませんでした。攻撃者はコントラクトのステートマシンを変更し、未承認のアカウントを正規のものとして扱わせるよう誘導しただけです。

HumaのチームはXに「本日早く、PolygonにあるHumaのレガシーv1コントラクトの脆弱性が悪用され、101,400 USDCが流出しました」と投稿しました。さらに「SolanaにあるHumaのv2システムは完全な書き直しであり、この問題はv2システムには適用されません」と続けました。

Humaは、エクスプロイトが発生する前にすでにV1の運用を縮小していたと述べました。チームはXで「チームはすでにすべてのレガシーv1プールの廃止手続きを進めており、現在v1を完全に停止しました」と述べました。

事態発生後、チームは残存するすべてのV1コントラクトを完全に停止しました。同社は、V2のユーザー入金は影響を受けておらず、新しいプラットフォームは引き続き正常に運用されていると述べました。

Polygonにとって最悪の日

Cryptopolitanの最新レポートによると、このエクスプロイトはInk FinanceがPolygon上のWorkspace Treasury Proxyコントラクトから約140,000ドルを失ったのと同日に発生しました。攻撃者はホワイトリスト済みアドレスと一致するコントラクトをデプロイし、資格確認を回避しました。

どちらの事件においても、攻撃者はスマートコントラクト設計のロジックミスを突きました。Polygonで相次いで発生したエクスプロイトは、スマートコントラクト損失として過去最悪の月となった2026年4月以降に起きたものです。

これをお読みであれば、あなたはすでに一歩先を行っています。ニュースレターでその優位性を保ち続けましょう。