DeFi-протокол Bonzo Lend, работающий на блокчейне Hedera, стал жертвой масштабной атаки, в результате которой злоумышленник похитил активы на сумму около $9 миллионов. Причина инцидента — компрометация стороннего ценового оракула, а не уязвимость в смарт-контрактах самого протокола.
Согласно моему анализу данных инцидента, атакующий внес в качестве залога всего 250 токенов SAUCE. После этого он манипулировал данными оракула Supra, искусственно завысив цену актива примерно в триллион раз. Эта колоссальная разница позволила злоумышленнику занять около 6,6 миллиона USDC и 34,5 миллиона wHBAR при практически нулевом обеспечении. Фактически, взломщик получил доступ к ликвидности протокола, используя поддельные цены, которые не соответствовали рыночной реальности.
Команда Bonzo Finance оперативно отреагировала, приостановив работу кредитного сервиса и программы начисления баллов. Разработчики подчеркивают, что инцидент связан с ошибкой в системе верификации цен поставщика оракулов Supra, а не с дефектами в коде Bonzo Lend. В настоящее время они сотрудничают с партнерами по экосистеме Hedera для анализа ситуации и подготовки плана восстановления активов.
Интересный поворот: один из адресов, участвовавших в выводе около $1 миллиона во время «окна» аномальной цены SAUCE, идентифицировал себя как «белый хакер» и заявил о намерении вернуть средства. Это может свидетельствовать о том, что часть потерь будет возмещена, хотя полное восстановление всех $9 миллионов остается под вопросом.
Мой экспертный комментарий: Этот инцидент — еще одно напоминание о критической важности надежности оракулов в DeFi. Даже если смарт-контракты безупречны, уязвимость в цепочке поставки данных может привести к катастрофическим последствиям. Протоколам необходимо внедрять многоуровневые системы верификации цен и резервные механизмы, чтобы минимизировать риски подобных манипуляций. Для Hedera это серьезный удар по доверию к экосистеме, особенно на фоне общего снижения убытков от взломов в первом полугодии 2026 года (около $972 миллионов по данным Immunefi).