كشفت Huma Finance أن عقود V1 BaseCreditPool المُعَطلة على Polygon تعرضت للاستغلال بقيمة حوالي 101,000 دولار، حيث سحب المهاجم 82,316 USDC و19,075 USDC.e عبر سحوبات غير مصرح بها. الحادثة، التي وقعت في 11 مايو، تعود إلى خطأ منطقي في إدارة دورة الائتمان في العقود التي كان من المفترض أن تكون خارج الخدمة بالفعل.
لم تتأثر أي إيداعات من المستخدمين. لا يزال رمز استراتيجية PayFi (PST) ونشر Huma V2 على Solana يعملان بكامل طاقتهما دون أي تغيير. كان الضرر مقتصرًا على رسوم مالكي الصندوق ورسوم البروتوكول.
ما الذي حدث بشكل خاطئ في العقود المُلغاة؟
كان السبب الجذري خطأ في منطق دورة الائتمان. كانت العقود الذكية القديمة تحتوي على عيب في كيفية إدارتها لمراحل خط الائتمان، خاصةً من يمكنه بدء السحب وتحت أي شروط. سمح هذا الفراغ لشخص ما بسحب أموال لم يكن ينبغي له الوصول إليها أبدًا.
وصف خبراء الأمن الحادث بأنه عيب في التحكم بالوصول يمكن تجنبه، وليس ثغرة صفرية جديدة.
رد هوما والسياق الأوسع
أعلنت Huma Finance عن الاختراق على وسائل التواصل الاجتماعي في نفس اليوم الذي حدث فيه. كان البروتوكول سريعًا في وضع حدود واضحة بين ما تم اختراقه وما لم يُستهدف. ودائع المستخدمين: آمنة. حيازات PST: غير متأثرة. النظام القائم على Solana V2: يعمل بشكل طبيعي. هذا التمييز مهم لأن Huma دمجت مؤخرًا PST في استراتيجيات دعم USD* في 30 أبريل، قبل حوالي أسبوعين فقط من الاختراق.
تُعرّف Huma Finance نفسها كبروتوكول PayFi لامركزي، يربط تمويل المدفوعات بالبنية التحتية على السلسلة. نشأ البروتوكول في عام 2025، وعمل على توسيع حضوره مع تركيز خاص على Solana كسلسلة تشغيلية رئيسية في المستقبل. كانت عقود الإصدار V1 القائمة على Polygon نموذجًا أقدم، تم التخلي عنه أثناء ترقية الفريق.
لم يتم الإبلاغ عن أي حوادث كبيرة أو تحديثات ملحوظة أخرى من Huma في الفترة التي سبقت الاستغلال والتي استمرت 30 يومًا.
ما يعنيه ذلك للمستثمرين ومنظومة DeFi
النقطة هي أن العقود الذكية المُلغاة تمثل نقطة عمياء منهجية عبر نظام DeFi. تقوم البروتوكولات بترقية نفسها، ونقل السلاسل، وإطلاق إصدارات V2 وV3، لكن العقود القديمة تظل موجودة على السلسلة إلى الأبد. إذا لم تُستنزف الأموال المتبقية بالكامل ولم تُعزز العقود أو تُوقف، فإنها تصبح أهدافًا.
أشار التحليل المتخصص إلى أن هذا كان خللًا بسيطًا في التحكم في الوصول، من نوع الثغرات التي تكشفها المراجعات الأعمق. تركز معظم شركات المراجعة انتباهها على النشرات الجديدة، وليس على النشرات القديمة التي تُجمع الغبار.
أظهر سوق DeFi الأوسع لا تأثيرات كبيرة من الاستغلال. إن بنية V2 منفصلة عن عقود V1 المخترقة، ولا توجد أدلة تشير إلى ثغرات مشتركة بين الاثنين.