Новости криптомира

DeFi-протокол Bonzo Lend, работающий в экосистеме Hedera, стал жертвой изощренной атаки, в результате которой злоумышленник вывел активы на сумму около $9 млн. Причиной инцидента стала компрометация стороннего ценового оракула, а не уязвимости в смарт-контрактах самого протокола.

Согласно моему анализу отчета разработчиков Bonzo Finance, атакующий внес в качестве залога 250 токенов SAUCE, после чего манипулировал оракулом Supra, передав поддельную цену актива, завышенную примерно в триллион раз. Это позволило злоумышленнику занять около 6,6 млн USDC и 34,5 млн wHBAR при практически нулевом реальном обеспечении. Ключевая ошибка произошла именно в системе верификации цен поставщика оракулов Supra, а не в коде Bonzo Lend.

После обнаружения атаки Bonzo Lend немедленно приостановил работу кредитного сервиса и программы начисления баллов. Разработчики заявили, что сотрудничают с партнерами по экосистеме Hedera для анализа инцидента и подготовки плана восстановления активов. Интересно, что один из адресов, участвовавших в выводе около $1 млн во время «окна» аномальной цены SAUCE, идентифицировал себя как «белый хакер» и сообщил о намерении вернуть средства.

Мой комментарий: Этот инцидент подчеркивает фундаментальную проблему DeFi — зависимость от сторонних оракулов. Даже самые надежные смарт-контракты могут быть скомпрометированы через манипуляцию данными на входе. На фоне того, что в первой половине года криптопроекты потеряли около $972 млн в результате 207 инцидентов, атака на Bonzo Lend — очередное напоминание о необходимости многоуровневой защиты ценовых фидов. Рынку нужны децентрализованные оракулы с встроенными механизмами проверки аномалий, иначе такие взломы будут повторяться.