Huma FinanceのPolygon上でのセキュリティインシデント
Huma FinanceのレガシーV1契約がPolygon上で論理バグにより、攻撃者によって約$101,400のUSDCが引き出されました。しかし、SolanaベースのPayFi V2およびPSTトークンは構造的に影響を受けていません。
事件の詳細
Huma Financeは、Polygon上のレガシーV1契約が悪用され、すでに縮小プロセスに入っていた古い流動性プールから約$101,400のUSDCおよびUSDC.eが引き出されたことを明らかにしました。チームは、現在のPayFiプラットフォームにおけるユーザーの預金はリスクにさらされておらず、HumaのPSTトークンも影響を受けていないと強調しました。
「Huma FinanceのV1 BaseCreditPoolのPolygonでの展開が悪用され、約$101Kの被害が発生しました。総引き出し額は約$101.4K（USDC + USDC.e）」
チームは、この事件が稼働中のプロダクションボールトではなく、廃止された契約に限定されていることを確認しました。CryptoTimesが引用したWeb3セキュリティ企業Blockaidの詳細な分析によれば、損失はV1 BaseCreditPool契約内のrefreshAccountという関数の論理的欠陥に起因し、十分なチェックなしにアカウントのステータスを「リクエストされたクレジットライン」から「良好な状態」に変更してしまったとのことです。
攻撃のメカニズム
このバグにより、攻撃者はアクセス制御を回避し、承認された借り手のように資金を引き出すことができました。Blockaidの分析によると、ある契約（0x3EBc1）から約82,315.57 USDC、別の契約（0x95533）から17,290.76 USDC.e、さらに別の契約（0xe8926）から1,783.97 USDC.eが引き出され、すべてが単一のトランザクションで実行される緊密に調整されたシーケンスで行われました。
この悪用は、暗号や秘密鍵を破ることではなく、ビジネスロジックを操作することによってシステムが攻撃者に資金を引き出す権限があると「考えさせる」ものでした。
今後の対策とHuma 2.0
Humaは、悪用が発生した際にすでにPolygon上のV1流動性プールを段階的に廃止していたと述べており、今後のリスクを防ぐために残りのV1契約を完全に一時停止しました。開示の中で、チームはHuma 2.0 — CircleおよびSolana Foundationの支援を受けて2025年4月にSolanaで立ち上げられる、許可不要で構成可能な「実際の利回り」PayFiプラットフォーム — が「完全な再構築」であり、異なるアーキテクチャを持ち、脆弱なV1コードとは接続されていないと強調しました。
Huma 2.0の設計は、支払いファイナンス戦略におけるポジションを表す流動性のある利回りを生むLPトークンである$PST（PayFi Strategy Token）を中心に構築されており、Jupiter、Kamino、RateXなどのSolana DeFiプロトコルと統合可能です。
ユーザーへの重要なメッセージ
悪用されたV1契約はPolygon上の古い許可制クレジットプールシステムの一部であり、現在は実質的に退役しています。ユーザーにとっての重要なポイントは、約$101,400のUSDCの損失が個々のウォレットではなく、レガシープロトコルレベルの流動性に影響を与えたことであり、現在の預金およびSolana上のPSTポジションは安全であると報告されています。
それでも、この事件は、署名スキームではなく老朽化した契約のビジネスロジックが弱点であったDeFiの悪用の長いリストに新たな例を追加するものであり、Humaのようなチームが再設計されたアーキテクチャに移行している理由や、ユーザーが「レガシー」および「まもなく廃止される」プールを監査されていないコードと同じ注意を払って扱うべき理由を強調しています。
