Атака на DeFi-протокол Bonzo Lend: манипуляция оракулом обошлась в $9 млн
Экосистема Hedera потеряла более $9 миллионов в результате взлома кредитного протокола Bonzo Lend. Инцидент, который привел к полной приостановке работы сервиса, стал классическим примером атаки на инфраструктурный элемент — ценовой оракул.
Злоумышленник использовал уязвимость в стороннем поставщике данных Supra. Внеся всего 250 токенов SAUCE в качестве залога, хакер передал оракулу фиктивную цену этого актива, завысив её примерно в триллион раз. Это позволило ему мгновенно занять колоссальные суммы — около 6,6 миллиона USDC и 34,5 миллиона wHBAR — при практически нулевом обеспечении.
Команда Bonzo Finance оперативно зафиксировала аномалию и приостановила работу кредитного пула, а также программу начисления баллов. Важно подчеркнуть: разработчики прямо заявляют, что смарт-контракты самого протокола не были скомпрометированы. Корень проблемы кроется в ошибке системы верификации цен поставщика оракулов Supra.
На данный момент ведется работа с партнерами по сети Hedera для анализа произошедшего и выработки плана по восстановлению средств. Интересный поворот: один из адресов, участвовавших в выводе около $1 миллиона, идентифицировал себя как «белый хакер» и заявил о намерении вернуть похищенные активы.
Аналитика Cryptalist: Этот инцидент — очередное напоминание о том, что DeFi-протоколы, полагающиеся на внешние оракулы, создают огромную поверхность для атак. Даже безупречный код смарт-контрактов не защитит, если рухнет фундамент доверия к поставщику данных. Рынок должен пересмотреть подход к безопасности оракулов — либо внедрять децентрализованные решения с многократной верификацией, либо использовать более консервативные механизмы расчета стоимости залога.