Huma V1漏洞致百万美元资产被提，Solana V2系统安全无虞

核心提要：Huma Finance 官方披露，其已停用的 Polygon V1 信用池因逻辑缺陷遭攻击，约10.1万美元资产被提取。团队强调 Solana 上的 V2 系统与受损合约完全隔离，用户资金及 PST 代币未受影响。

Huma V1 信用池逻辑缺陷引发资产外流，新架构未受波及

Huma Finance 公布，其已逐步下线的 Polygon V1 BaseCreditPool 合约在关闭流程中被恶意利用，导致约 101,400 美元的 USDC 与 USDC.e 被非法提取。官方明确指出，当前 PayFi 平台用户存款安全，PST 代币价值稳定，且在 Solana 上部署的 V2 系统与出问题的旧合约在技术架构上实现彻底分离。

旧合约函数缺陷成突破口，攻击者借身份状态篡改完成资金挪移

经安全机构分析，此次事故根源在于 V1 合约中 refreshAccount() 函数存在严重逻辑瑕疵：该接口在未执行充分验证的情况下，擅自将账户状态从“申请信用”更改为“信用良好”，从而让攻击者伪装成合规借款人，绕过权限控制，直接从关联资金池中提取资产。

三步式交易链完成资金提取，未涉及密钥泄露或加密破解

攻击行为通过一次高度协同的多合约调用完成，分批次从三个不同地址提取了总计约 82,315.57 USDC、17,290.76 USDC.e 以及 1,783.97 USDC.e。整个过程不依赖私钥暴露或密码学漏洞，而是精准操纵系统业务规则，诱导协议错误授权。

遗留系统已全面冻结，2.0平台独立运行保障用户资产

事发时，公司正按计划淘汰 Polygon 上的 V1 流动性体系，所有剩余合约现已完全暂停，防止风险进一步扩散。团队特别说明，于 2025 年 4 月上线的 Huma 2.0 是一个基于 Solana 的无需许可、可组合的支付金融基础设施，其核心为 $PST 代币，代表真实收益头寸，并可无缝对接 Jupiter、Kamino 与 RateX 等主流 DeFi 协议，与旧版代码无任何交集。

关键提醒：遗留合约风险不可忽视，重构是安全升级必由之路

对用户而言，本次损失仅影响协议层面的废弃流动性，个人钱包中的资金不受影响。尽管如此，该事件再次凸显：许多 DeFi 安全危机并非源于加密算法，而来自陈旧合约中的业务逻辑缺陷。这也印证了 Huma 向全新架构迁移的战略合理性，同时提醒投资者应以高度警惕对待尚未退役但已停止维护的资金池。