Aiying 艾盈一家专注加密资产合规咨询服务机构，本文为团队原创，转载需授权。
5 月 11 日，Huma Finance 部署在 Polygon 上的旧版 v1 合约遭到攻击，损失约 10.14 万枚 USDC（约 10.14 万美元）。官方迅速回应：用户资金安全、PST 代币不受影响，Solana 上的 v2 系统为全新重构版本，与此次漏洞无关。目前 v1 运营已全面关停。
发生了什么
旧版 v1 合约漏洞被利用
Huma Finance 官方确认，部署在 Polygon 链上的旧版 v1 合约存在一个未公开细节的安全漏洞，被攻击者利用盗走了 10.14 万枚 USDC（Huma Finance 官方推文, 2026-05-11）。官方没有披露具体的攻击手法——是闪电贷、重入攻击还是预言机操纵，目前仍不清楚。
损失可控，但暴露了一个结构性问题
10 万美元级别在 DeFi 安全事件里不算大数字，但这件事的特殊之处在于——Huma 已经在推进 v1 的下线工作，攻击恰好在旧合约”退役前夜”发生。这其实是一个相当典型的风险场景：协议迁移到新版本后，旧合约往往处于”半维护”状态，安全关注度下降，却仍暴露在链上。
为什么值得关注
链上协议的”版本迁移风险”长期被低估
DeFi 行业里，协议升级后旧版本合约并不像传统软件那样能一键卸载。只要合约还部署在链上、还有流动性锁在池子里，它就是公开可访问的入口。这次 Huma 在迁移过程中被”扫尾”，本质上是版本管理问题而非传统意义上的漏洞问题——旧合约不是设计缺陷，而是被遗忘在攻击面上。
用户资金隔离机制奏效
值得肯定的一点：Huma 的 v1 和 v2 之间做了有效的资产隔离。攻击只影响了 v1 合约内的流动性池资金，用户存款、PST 代币和 Solana v2 系统均未被波及。这说明协议在架构升级时考虑了风险边界，但从合规角度看，问题不止于此——即使损失可控，一次公开的安全事件对任何需要面对机构客户的协议来说，都会引发运营安全和内部风控流程的质疑。
怎么看
- 旧合约退役应有标准化流程：不仅仅是”暂停运营”——链上合约无法删除，但可以通过设置管理员暂停、提取剩余流动性、设置最高限额等方式主动降低攻击面。这些动作应该在迁移 v2 的前几步就完成，而不是等攻击发生后再紧急关停。
- 协议升级的安全审计应该覆盖新旧两版：行业惯例是审计新版合约，旧版往往被忽略。但只要有资金留在旧合约里，它就是攻击目标。
- 10 万美元的损失，修复的是协议治理的盲区：这次事件对 Huma 来说可能不是财务问题，而是一次关于协议生命周期管理的提醒——从上线到退役，每一步都需要安全规划。
一句话总结
Huma Finance v1 合约在迁移退役前被”扫尾”攻击，损失 10 万 USDC——这不是一个新漏洞的故事，而是一个关于旧合约生命周期的老问题。
本文基于 Huma Finance 官方推特公告（2026-05-11）撰写。
