DeFi-протокол Bonzo Lend, функционирующий в экосистеме Hedera, стал жертвой изощренной атаки, приведшей к потерям примерно на $9 млн. Злоумышленник воспользовался уязвимостью в стороннем ценовом оракуле, что позволило ему манипулировать рыночными данными и вывести ликвидность.
Согласно проведенному анализу, атакующий внес в качестве залога всего 250 токенов SAUCE. После этого он передал в оракул поддельную цену актива, завысив ее примерно в триллион раз. Столь грубая манипуляция позволила злоумышленнику занять около 6,6 млн USDC и 34,5 млн wHBAR при практически нулевом обеспечении. Это классический пример атаки на оракул, где доверие к внешнему источнику данных становится точкой отказа.
Команда Bonzo Finance оперативно приостановила работу кредитного сервиса и программу начисления баллов. Разработчики подчеркивают, что инцидент связан с ошибкой в системе верификации цен поставщика оракулов Supra, а не с уязвимостями в смарт-контрактах протокола. Это важный нюанс, который указывает на необходимость более тщательной проверки сторонних интеграций.
В настоящее время ведется сотрудничество с партнерами по экосистеме Hedera для анализа инцидента и подготовки плана восстановления активов. Интересно, что один из адресов, участвовавших в выводе около $1 млн во время «окна» аномальной цены SAUCE, идентифицировал себя как «белый хакер» и выразил намерение вернуть средства. Это может смягчить последствия, но не отменяет системных рисков.
По данным Immunefi, в первой половине 2026 года криптопроекты потеряли около $972 млн в результате 207 инцидентов. Атака на Bonzo Lend — еще одно напоминание о том, что даже при надежной архитектуре смарт-контрактов, зависимость от внешних оракулов остается критическим вектором угроз.
Мой экспертный вывод: Данный случай подчеркивает необходимость использования децентрализованных и многоуровневых систем оракулов, а также внедрения механизмов защиты от манипуляций ценами, таких как задержки в обновлении данных или лимиты на займы. Без этого подобные атаки будут повторяться, подрывая доверие к DeFi.