Cuộc Khai Thác Huma Finance trên Polygon
Một lỗi logic trong các hồ tín dụng Legacy V1 của Huma trên Polygon đã cho phép một kẻ tấn công rút khoảng 101,400 USDC. Tuy nhiên, nền tảng PayFi V2 và token PST dựa trên Solana của Huma vẫn không bị ảnh hưởng về cấu trúc.
Xác Nhận và Phân Tích Sự Cố
Huma Finance đã xác nhận rằng các hợp đồng Legacy V1 của họ trên Polygon đã bị khai thác, dẫn đến việc khoảng 101,400 USDC và USDC.e bị rút từ các hồ thanh khoản cũ đã ngừng hoạt động. Nhóm phát triển nhấn mạnh rằng không có khoản tiền gửi nào của người dùng trên nền tảng PayFi hiện tại gặp rủi ro, token PST của Huma không bị ảnh hưởng, và hệ thống V2 đã được tái cấu trúc trên Solana hoàn toàn tách biệt với các hợp đồng bị ảnh hưởng.
Theo một bài đăng chính thức trên X, “Các triển khai BaseCreditPool V1 của Huma Finance trên Polygon đã bị khai thác… với khoảng 101K. Tổng số tiền bị rút: khoảng 101.4K (USDC + USDC.e).”
Nhóm xác nhận rằng sự cố này chỉ giới hạn trong các hợp đồng đã ngừng hoạt động, không phải các kho sản xuất đang hoạt động. Một bài viết chi tiết từ công ty bảo mật Web3 Blockaid, được CryptoTimes trích dẫn, cho rằng tổn thất này là do một lỗi logic trong một hàm gọi là refreshAccount bên trong các hợp đồng V1 BaseCreditPool. Hàm này đã thay đổi sai trạng thái của một tài khoản từ “Yêu cầu hạn mức tín dụng” thành “Tình trạng tốt” mà không có đủ kiểm tra.
Chi Tiết Về Cuộc Khai Thác
Lỗi này đã cho phép kẻ tấn công vượt qua các kiểm soát truy cập và rút tiền từ các hồ liên kết với kho bạc như thể họ là một người vay được phê duyệt. Phân tích của Blockaid cho thấy khoảng 82,315.57 USDC đã bị rút từ một hợp đồng (0x3EBc1), 17,290.76 USDC.e từ một hợp đồng khác (0x95533), và 1,783.97 USDC.e từ một hợp đồng thứ ba (0xe8926), tất cả đều trong một chuỗi được phối hợp chặt chẽ thực hiện trong một giao dịch duy nhất.
Cuộc khai thác không liên quan đến việc phá vỡ mật mã hay khóa riêng, mà thay vào đó là thao tác logic kinh doanh khiến hệ thống “nghĩ” rằng kẻ tấn công được phép rút tiền. Huma cho biết họ đã bắt đầu ngừng hoạt động các hồ thanh khoản V1 của mình trên Polygon khi cuộc khai thác xảy ra, và hiện đã tạm dừng hoàn toàn tất cả các hợp đồng V1 còn lại để ngăn chặn bất kỳ rủi ro nào thêm nữa.
Huma 2.0 và Tương Lai
Trong thông báo của mình, nhóm nhấn mạnh rằng Huma 2.0 — một nền tảng PayFi “real-yield” không cần sự cho phép, có khả năng kết hợp, đã ra mắt trên Solana vào tháng 4 năm 2025 với sự hỗ trợ từ Circle và Quỹ Solana — là “một sự tái xây dựng hoàn toàn” với kiến trúc khác và không liên kết với mã V1 dễ bị tổn thương.
Thiết kế của Huma 2.0 tập trung vào $PST (PayFi Strategy Token), một token LP có tính thanh khoản, mang lại lợi suất đại diện cho các vị trí trong các chiến lược tài chính thanh toán và có thể được tích hợp với các giao thức DeFi trên Solana như Jupiter, Kamino và RateX.
Ngược lại, các hợp đồng V1 bị khai thác là một phần của hệ thống hồ tín dụng cũ, có sự cho phép trên Polygon, hiện đã được nghỉ hưu. Đối với người dùng, điểm mấu chốt là tổn thất khoảng 101,400 USDC đã ảnh hưởng đến thanh khoản cấp độ giao thức cũ chứ không phải ví cá nhân, và các khoản tiền gửi hiện tại cùng các vị trí PST trên Solana được báo cáo là an toàn.
Tuy nhiên, sự cố này lại thêm một ví dụ nữa vào danh sách dài các cuộc khai thác DeFi, trong đó điểm yếu không phải là các sơ đồ chữ ký mà là logic kinh doanh trong các hợp đồng cũ — củng cố lý do tại sao các nhóm như Huma đang chuyển sang các kiến trúc được thiết kế lại, và tại sao người dùng nên coi trọng các hồ “legacy” và “sắp bị ngừng hoạt động” với sự cẩn trọng tương tự như họ dành cho mã chưa được kiểm toán.
