币圈界报道：

Huma Finance Polygon V1 信用池遭逻辑攻击，资金损失约10.1万美元

据 Huma Finance 官方披露，其已逐步停用的 Polygon 链上 V1 BaseCreditPool 合约在关闭流程中被恶意利用，导致约 101,400 美元的 USDC 与 USDC.e 被非法提取。该事件仅波及已废弃的旧合约，不影响当前运行中的资金池及用户账户安全。

漏洞根源：状态更新函数存在授权验证缺陷

调查发现，问题出在名为 refreshAccount() 的合约函数中。该函数在未进行充分身份校验的情况下，错误地将账户状态由“申请信用”更改为“信用良好”，从而让攻击者伪造借款人身份，绕过权限控制，从关联资金池中提取资产。

攻击路径：三步协同交易完成资金转移

攻击者通过精心设计的一系列交易，分批次从三个相关合约中提取了总计 82,315.57 USDC、17,290.76 USDC.e 以及 1,783.97 USDC.e。整个过程未涉及加密算法破解或私钥泄露，而是通过对业务规则的精准操控，诱导系统误判其为合法提款人。

Huma 2.0 系统独立运行，架构隔离确保安全

团队强调，此次事故与正在运营的 Solana 平台 V2 版本无关。Huma 2.0 是于 2025 年 4 月上线的无需许可、可组合的支付金融协议，采用全新架构，与存在漏洞的 V1 代码无任何关联。其核心代币 PST 代表真实收益的流动性头寸，已集成至 Jupiter、Kamino 和 RateX 等主流 Solana 协议中。

遗留系统风险警示：逻辑缺陷远比密码学漏洞更隐蔽

尽管损失金额主要来自协议层的过时流动性池，但事件再次凸显去中心化金融中“老化合约”的潜在威胁。此类漏洞往往不依赖技术突破，而源于对业务流程的不当建模。这促使 Huma 等项目加速向重构架构迁移，同时也提醒用户：对即将下线或已弃用的资金池，应保持与未经审计代码同等的警惕性。