Incident de Bonzo Lend
Le protocole de prêt basé sur Hedera, Bonzo Lend, a subi une perte d’environ 9,05 millions de dollars après qu’un attaquant ait manipulé le prix de SAUCE, utilisé comme garantie. Bonzo Finance Labs a indiqué que l’incident a débuté le 11 juillet 2026, lorsqu’un portefeuille a soumis un faux prix de SAUCE à un contrat oracle tiers de Supra.
Détails de l’attaque
L’attaquant a déposé 250 SAUCE, d’une valeur de seulement quelques dollars, avant que le flux ne traite les jetons comme très précieux. Huit secondes après que le faux prix ait été diffusé sur le réseau, le portefeuille a emprunté 6,63 millions de USDC et plus de 34,5 millions de HBAR enveloppés. Bonzo a qualifié la perte principale de « 9,05 millions de dollars« .
« Aucune signature d’oracle valide n’a été forgée » – Bonzo Finance Labs
Le protocole a suspendu Bonzo Lend à 01:41 UTC et a arrêté Bonzo Points plus tard dans la matinée. Cependant, Bonzo Vaults, Bonzo Bridge et le staking unilatéral de BONZO ont continué à fonctionner.
Analyse de l’incident
Le rapport d’incident de Bonzo a retracé l’événement au processus de vérification de signature de Supra. La mise à jour a transmis une signature nulle au lieu d’une signature valide du comité oracle de Supra. Bonzo a précisé que le vérificateur n’avait pas réussi à rejeter les entrées de valeur nulle avant de les envoyer au contrat du système de couplage de Hedera.
La vérification de couplage a renvoyé vrai, car les deux valeurs représentaient le point d’identité mathématique. Le contrat de Supra a ensuite traité ce résultat comme preuve d’une signature valide du comité.
Bonzo a expliqué que ses contrats de prêt avaient pris en compte la valeur manipulée du flux oracle approuvé et calculé le pouvoir d’emprunt à partir de ces données. L’équipe a affirmé que le pool de prêt avait fonctionné comme prévu après avoir reçu l’entrée erronée.
Conséquences et récupération
Un deuxième compte a emprunté environ 1 million de dollars pendant que le prix anormal restait actif. Ce portefeuille a ensuite contacté l’équipe et s’est présenté comme un répondant de chapeau blanc, déclarant qu’il prévoyait de retourner les actifs. Bonzo a exclu ce montant de son chiffre de perte de 9,05 millions de dollars, car les discussions de récupération sont toujours en cours.
Avant que Bonzo ne publie ses conclusions, crypto.news a rapporté que des chercheurs en sécurité avaient suivi plus de 5,8 millions de dollars se déplaçant de Hedera à Ethereum. Les chercheurs ont indiqué que le portefeuille avait transféré des actifs via LayerZero et converti une partie des avoirs de Bitcoin enveloppé en Ether. HBAR a chuté de plus de 2 % alors que les transferts se poursuivaient.
La documentation oracle de Bonzo répertorie les flux de Supra pour SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM et HST contre HBAR enveloppé. L’incident a principalement affecté la paire SAUCE.
Bonzo a déclaré que la publication légitime avait restauré ce prix à environ 0,1964 HBAR à 01:36 UTC, cinq minutes avant la suspension du pool de prêt.
Bonzo Lend reste en pause pendant que Bonzo Finance Labs et la Bonzo Finance Foundation collaborent avec des partenaires pour la récupération des actifs, les réparations et les plans de retrait pour les fournisseurs de liquidités. L’équipe n’a pas encore fixé de date pour la réouverture du pool de prêt.
