Протокол кредитования Bonzo Lend, развернутый в экосистеме Hedera, стал жертвой изощренной атаки на ценовой оракул. Злоумышленнику удалось вывести активы на сумму около $9 миллионов, используя уязвимость в стороннем поставщике данных Supra, а не в самих смарт-контрактах платформы.
Согласно проведенному анализу, атакующий внес в качестве залога всего 250 токенов SAUCE. Затем он передал в оракул поддельную цену актива, искусственно завысив ее примерно в триллион раз. Эта манипуляция позволила ему занять колоссальные суммы — около 6,6 миллиона USDC и 34,5 миллиона wHBAR — при практически нулевом реальном обеспечении. По сути, атакующий «напечатал» себе кредитную линию, используя фиктивную стоимость мизерного депозита.
Команда Bonzo Finance оперативно приостановила работу кредитного сервиса и программы начисления баллов. Разработчики подчеркивают, что инцидент связан исключительно с ошибкой в системе верификации цен поставщика оракулов Supra, а не с уязвимостями кода самого протокола. Это классический пример атаки на «слабый мост» в DeFi — сторонний инфраструктурный элемент, который может стать точкой входа даже при безупречной архитектуре смарт-контрактов.
В настоящее время Bonzo Lend сотрудничает с партнерами по экосистеме Hedera для детального анализа инцидента и разработки плана по восстановлению средств. Примечательно, что один из адресов, участвовавших в выводе около $1 миллиона во время «окна» аномальной цены SAUCE, идентифицировал себя как «белый хакер» и заявил о намерении вернуть активы. Это дает надежду на частичное возмещение ущерба.
Мнение эксперта: Атака на Bonzo Lend — еще один тревожный звоночек для всей DeFi-индустрии. Проблема не в коде протокола, а в его зависимости от сторонних оракулов. Пока проекты не начнут внедрять децентрализованные и многократно проверенные источники данных с механизмами защиты от манипуляций, подобные инциденты будут повторяться. Потеря $9 миллионов из-за одной фиктивной цены — это не случайность, а системный риск, который требует немедленного пересмотра стандартов безопасности.