Атака на DeFi-протокол Bonzo Lend: ущерб в $9 млн из-за манипуляции оракулом
Экосистема Hedera столкнулась с серьёзным инцидентом безопасности: DeFi-протокол Bonzo Lend подвергся атаке, в результате которой злоумышленник похитил активы на сумму около $9 млн. Ключевой причиной взлома стала компрометация стороннего ценового оракула Supra, а не уязвимость в смарт-контрактах самого протокола.
Согласно детальному анализу команды Bonzo Finance, атакующий использовал изощрённую схему. В качестве залога было внесено всего 250 токенов SAUCE. Затем хакер передал в оракул поддельную цену этого актива, искусственно завысив её примерно в триллион раз. Это позволило ему занять около 6,6 млн USDC и 34,5 млн wHBAR при практически нулевом обеспечении. По сути, манипуляция ценовым фидом дала возможность обойти механизмы оценки залога и вывести ликвидность пула.
После обнаружения атаки команда Bonzo Lend немедленно приостановила работу кредитного сервиса и программы начисления баллов. Разработчики подчеркнули, что инцидент связан именно с ошибкой в системе верификации цен поставщика оракулов Supra, а не с ошибками в коде самого протокола. Ведётся активное сотрудничество с партнёрами по экосистеме Hedera для анализа инцидента и подготовки плана по восстановлению средств.
Примечательно, что один из адресов, участвовавших в выводе около $1 млн в момент аномальной цены SAUCE, идентифицировал себя как «белый хакер» и заявил о намерении вернуть средства. Это даёт надежду на частичное возмещение ущерба, однако судьба остальных $8 млн пока остаётся под вопросом.
Экспертный комментарий: Данный инцидент — очередное напоминание о критической роли оракулов в DeFi. Даже самые надёжные смарт-контракты бесполезны, если внешний источник данных (в данном случае — ценовой фид) может быть скомпрометирован. Атака на Bonzo Lend демонстрирует, что проектам необходимо внедрять многоуровневые системы верификации цен и использовать децентрализованные оракулы с механизмами защиты от манипуляций. В противном случае мы будем наблюдать повторение подобных сценариев, когда ущерб от атак в первом полугодии уже превысил $972 млн.