Huma 的舊版 V1 Polygon 信用池中存在一個邏輯漏洞，攻擊者從中竊取了約 101,400 美元的$USDC ，但其基於 Solana 的 PayFi V2 和 PST 代幣在結構上仍未受到影響。
Huma Finance披露，其在Polygon平臺上的舊版V1合約遭到攻擊，導致價值約101,400美元的USDC和USDC.e代幣從原本正在清算的舊流動性池中被盜走。該團隊強調，其當前PayFi平臺上的用戶存款不受影響，Huma的PST代幣也未受影響，並且其在Solana平臺上重新架構的V2系統在結構上與受影響的合約完全獨立。
根據 X 上的官方公告，“Huma Finance 在 Polygon 上的 V1 BaseCreditPool 部署遭到攻擊……損失金額約為 10.1 萬美元。總損失金額：約 10.14 萬美元（ $USDC + $USDC.e ）”。團隊確認，此次事件僅限於已棄用的合約，而非正在運行的生產金庫。CryptoTimes 援引 Web3 安全公司 Blockaid 的詳細報告指出，此次損失源於 V1 BaseCreditPool 合約中名為 refreshAccount() 的函數存在邏輯缺陷，該函數在未進行充分檢查的情況下，錯誤地將賬戶狀態從“已申請信用額度”更改為“良好狀態”。
該漏洞使攻擊者能夠繞過訪問控制，並以獲准借款人的身份從與國庫掛鉤的資金池中提取資金。Blockaid 的分析顯示，約有 82,315.57 個$USDC從一個合約 (0x3EBc1) 被盜，17,290.76 個$USDC.e從一個合約 (0x95533) 被盜，1,783.97 個$USDC.e從一個合約 (0xe8926) 被盜，所有這些操作都經過精心策劃，並在一次交易中完成。該漏洞利用並未涉及破解密碼學或私鑰，而是通過操縱業務邏輯，使系統“認為”攻擊者有權提取資金。
Huma表示，在漏洞發生時，他們已經開始逐步淘汰Polygon上的V1流動性池，目前已全面暫停所有剩餘的V1合約，以防止任何進一步的風險。在披露的信息中，團隊強調Huma 2.0——一個無需許可、可組合的“實際收益”支付平臺，於2025年4月在Solana上線，並得到了Circle和Solana基金會的支持——是一個“完全重建”的版本，採用了不同的架構，與存在漏洞的V1代碼沒有任何關聯。
Huma 2.0 的設計核心是 $PST（PayFi 策略代幣），這是一種流動性強、收益可觀的流動性提供者代幣，代表支付融資策略中的倉位，並且可以與 Solana DeFi 協議（例如 Jupiter、Kamino 和 RateX）集成。相比之下，被利用的 V1 合約是 Polygon 上一個較早的、許可型信用池系統的一部分，該系統現已實際關閉。
對用戶而言，關鍵在於此次約 101,400美元的 USDC損失打擊的是舊協議層面的流動性，而非單個錢包，並且目前 Solana 上的存款和 PST 頭寸被認為是安全的。儘管如此，此次事件仍然為 DeFi 漏洞利用案例增添了又一例證，這些案例表明，漏洞並非出在簽名方案上，而是出在老舊合約中的業務邏輯上——這也再次印證了像 Huma 這樣的團隊為何要遷移到重新設計的架構，以及用戶為何應該像對待未經審計的代碼一樣，對“舊版”和“即將棄用”的資金池保持同樣的謹慎態度。
