Инцидент с Bonzo Lend
Протокол кредитования на базе Hedera, Bonzo Lend, понес убытки в размере около 9,05 миллиона долларов после того, как злоумышленник манипулировал ценой токена SAUCE, используемого в качестве залога. Bonzo Finance Labs сообщили, что инцидент произошел 11 июля 2026 года, когда кошелек отправил ложную цену SAUCE в контракт оракула третьей стороны, Supra.
Механизм атаки
Злоумышленник внес 250 SAUCE, стоимостью всего несколько долларов, прежде чем агрегатор начал рассматривать токены как высокоценные. Восемь секунд спустя после того, как ложная цена была передана в сеть, кошелек занял 6,63 миллиона USDC и более 34,5 миллиона обернутых HBAR.
Bonzo оценил общие убытки в «примерно 9,05 миллиона долларов».
Протокол приостановил работу Bonzo Lend в 01:41 UTC и позже остановил Bonzo Points. Однако Bonzo Vaults, Bonzo Bridge и одностороннее стекинг BONZO продолжили функционировать.
Причины инцидента
В отчете Bonzo о инциденте было указано, что проблема возникла в процессе проверки подписи Supra. Обновление содержало нулевую подпись вместо действительной подписи от комитета оракула Supra. Bonzo сообщил, что проверяющее устройство не отклонило нулевые данные перед их отправкой в контракт системы паринга Hedera.
Проверка паринга вернула истинное значение, поскольку оба значения представляли математическую точку идентичности. Контракт Supra затем рассматривал этот результат как доказательство действительной подписи комитета.
Bonzo отметил, что «никакая действительная подпись оракула не была подделана», и реальная рыночная цена SAUCE не возросла.
Реакция и последствия
Согласно отчету, Supra с тех пор развернула исправление для затронутого контракта проверяющего на основной сети Hedera. Bonzo сообщил, что его кредитные контракты использовали манипулированное значение из утвержденного потока оракула и рассчитывали кредитную мощность на основе этих данных.
Команда заявила, что кредитный пул действовал как задумано после получения ложного ввода. В отчете не упоминались ошибки контракта Bonzo, атака с использованием флеш-кредита и нормальная манипуляция на рынке.
Второй аккаунт занял около 1 миллиона долларов, пока аномальная цена оставалась активной. Этот кошелек позже связался с командой и описал себя как ответчика в белой шляпе, заявив, что планирует вернуть активы. Bonzo исключил эту сумму из своих убытков в 9,05 миллиона долларов, поскольку переговоры о возврате продолжаются.
Перемещение активов
Перед публикацией своих выводов Bonzo, crypto.news сообщило, что исследователи безопасности отслеживали более 5,8 миллиона долларов, перемещающихся из Hedera в Ethereum. Исследователи сообщили, что кошелек перенес активы через LayerZero и конвертировал часть средств из обернутого Bitcoin в Ether. HBAR упал более чем на 2% по мере продолжения переводов.
Документация оракула Bonzo перечисляет потоки Supra для SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM и HST против обернутого HBAR. Инцидент затронул пару SAUCE.
Bonzo сообщил, что легитимное опубликование восстановило эту цену до примерно 0,1964 HBAR в 01:36 UTC, за пять минут до приостановки кредитного пула.
Поздний отчет Bonzo повысил подтвержденную сумму, взятую основным злоумышленником, до примерно 9,05 миллиона долларов. Bonzo Lend остается приостановленным, пока Bonzo Finance Labs и Bonzo Finance Foundation работают с партнерами над восстановлением активов, исправлениями и планами вывода для поставщиков ликвидности. Команда не назначила дату повторного открытия кредитного пула.
