Huma Finance เปิดเผยว่า สัญญา V1 BaseCreditPool บน Polygon ที่เลิกใช้งานแล้วถูกโจมตีเป็นมูลค่าประมาณ 101,000 ดอลลาร์สหรัฐ โดยผู้โจมตีได้ดึงเงิน 82,316 USDC และ 19,075 USDC.e ผ่านการถอนเงินโดยไม่ได้รับอนุญาต เหตุการณ์ดังกล่าวเกิดขึ้นเมื่อวันที่ 11 พฤษภาคม และเกิดจากข้อผิดพลาดทางตรรกะในการจัดการวงจรเครดิตของสัญญาที่ควรจะเลิกใช้งานไปแล้ว
ไม่มีการฝากของผู้ใช้ใดๆ ได้รับผลกระทบ โทเค็นกลยุทธ์ PayFi (PST) และการปรับใช้เวอร์ชัน V2 ของ Huma บน Solana ยังคงทำงานได้ปกติและไม่ได้รับผลกระทบ ความเสียหายจำกัดอยู่ที่ค่าธรรมเนียมของเจ้าของสระและค่าธรรมเนียมโปรโตคอล
เกิดอะไรขึ้นในสัญญาที่เลิกใช้งานแล้ว
สาเหตุหลักเกิดจากข้อผิดพลาดในตรรกะของวัฏจักรเครดิต สัญญาอัจฉริยะรุ่นเก่ามีข้อบกพร่องในการจัดการขั้นตอนของเส้นเครดิต โดยเฉพาะอย่างยิ่งเกี่ยวกับผู้ที่สามารถเริ่มต้นการถอนเงินและภายใต้เงื่อนไขใดๆ ช่องว่างนี้ทำให้บุคคลหนึ่งสามารถดึงเงินที่พวกเขาไม่ควรมีสิทธิ์เข้าถึง
ผู้เชี่ยวชาญด้านความปลอดภัยที่วิเคราะห์เหตุการณ์นี้ได้จำแนกมันว่าเป็นช่องโหว่ในการควบคุมการเข้าถึงที่สามารถป้องกันได้ มากกว่าช่องโหว่ศูนย์วันแบบใหม่ใดๆ
การตอบกลับของ Huma และบริบทโดยรวม
Huma Finance ประกาศการถูกโจมตีบนโซเชียลมีเดียในวันเดียวกับที่เกิดเหตุ โปรโตคอลนี้รีบชี้ชัดว่าสิ่งใดถูกกระทบและสิ่งใดไม่ได้รับผลกระทบ การฝากของผู้ใช้: ปลอดภัย การถือครอง PST: ไม่ได้รับผลกระทบ ระบบ V2 ที่ใช้ Solana: ดำเนินการตามปกติ ความแตกต่างนี้มีความสำคัญเพราะ Huma เพิ่งผสาน PST เข้ากับกลยุทธ์การรองรับ USD* เมื่อวันที่ 30 เมษายน ซึ่งเพิ่งผ่านไปประมาณสองสัปดาห์ก่อนการถูกโจมตี
Huma Finance กำหนดตัวเองเป็นโปรโตคอล PayFi แบบกระจายศูนย์ ที่เชื่อมโยงการเงินการชำระเงินกับโครงสร้างพื้นฐานบนโซ่ โปรโตคอลนี้เริ่มต้นในปี 2025 และได้พัฒนาการมีอยู่ของตนโดยเน้นที่ Solana เป็นโซ่หลักในการดำเนินงานในอนาคต สัญญาเวอร์ชัน V1 ที่อยู่บน Polygon ถือเป็นรุ่นเก่าที่ถูกทิ้งไว้ขณะทีมงานอัปเกรด
ไม่มีเหตุการณ์สำคัญหรืออัปเดตที่น่าสังเกตจาก Huma ที่รายงานในช่วง 30 วันก่อนการโจมตี
สิ่งนี้หมายถึงอะไรสำหรับนักลงทุนและระบบนิเวศ DeFi
จุดสำคัญคือ สัญญาอัจฉริยะที่เลิกใช้งานแล้วเป็นจุดบอดเชิงระบบในระบบนิเวศ DeFi โปรโตคอลมีการอัปเกรด ย้ายโซ่ หรือเปิดตัวรุ่น V2 และ V3 แต่สัญญาเก่ายังคงอยู่บนบล็อกเชนอย่างไม่มีที่สิ้นสุด หากเงินคงค้างไม่ถูกดึงออกทั้งหมด และสัญญาไม่ได้รับการป้องกันหรือหยุดชั่วคราว จะกลายเป็นเป้าหมาย
การวิเคราะห์จากผู้เชี่ยวชาญระบุว่านี่เป็นช่องโหว่ด้านการควบคุมการเข้าถึงที่ชัดเจน ซึ่งการตรวจสอบอย่างละเอียดจะสามารถตรวจจับได้ บริษัทตรวจสอบส่วนใหญ่มักเน้นความสนใจไปที่การเปิดใช้งานใหม่ ไม่ใช่ระบบเก่าที่สะสมฝุ่น
ตลาด DeFi โดยรวมไม่แสดงผลกระทบใดๆ ที่สำคัญจากการถูกโจมตี สถาปัตยกรรม V2 แยกจากสัญญา V1 ที่ถูกเจาะ และไม่มีหลักฐานใดบ่งชี้ถึงช่องโหว่ร่วมกันระหว่างสองระบบ