Bonzo Lend, наикрупнейший протокол предоставления кредита в экологической системе Hedera, сообщил о том, что понес убытки в размере примерно 9,05 млн долларов США в итоге использования незащищенности в системе ценового оракула третьих лиц. После атаки работа сервисов Bonzo Lend и Bonzo Points была временно приостановлена.
В соответствии с отчету о случившемся, размещенному Bonzo Finance Labs в взаимодействии с Bonzo Finance Foundation, атака произошла 11 июля 2026 года примерно в 00:51 UTC (03:51 UTC+3). Злодею получилось занять существенно выше, чем настоящая цена SAUCE, при маленьком залоге, послав манипулированную стоимость SAUCE в систему оракулов Supra, которая используется Bonzo Lend.
Компания Bonzo заявляла, что незащищенность в структуре обеспечения безопасности не связана с её своими смарт-договорами либо дизайном протокола предоставления кредита. Компания сообщила, что трудность кроется в механизме проверки подписи постороннего оракула цен в блокчейне, который используется Bonzo Lend.
В соответствии с отчету, 1-ый акк, использованный преступником, выслал искаженную стоимость SAUCE в $HBAR договору обновления цен по запросу оракула в главной сети Hedera. Тогда как реальная рыночная стоимость SAUCE составляет примерно 0,2 $HBAR, отправленное преступником значение было приблизительно на 12 символов после запятой выше настоящей цены.
Всего через 8 секунд после того, как в блокчейне была зафиксирована сфабрикованная стоимость, злодей употреблял маленькую сумму вложений SAUCE в качестве залога. Из-за данных оракула протокол оценил цена этого залога как только высшую, в итоге чего злодей заимствовал активы, существенно превосходящие реальную цена внесенного им залога.
В соответствии с обзору Bonzo, сфабрикованное обновление цены было принято, так как валидатор Supra в блокчейне удостоверил подтверждение без реальной подписи. Команда сообщила, что злодей не подделал действительную подпись оракула и что реальная рыночная стоимость SAUCE не поменялась.
Новости по теме Сатоши Накамото предрек, что необходимо делать в связи с квантовой угрозой для bitcoin, еще 16 годов назад
В протоколе сообщалось, что неправильная стоимость обязана была быть отклонена на уровне проверки оракула перед тем, как достигнет Bonzo Lend, но система проверки этого не сделала.
Было установлено, что 2-ой акк также заимствовал доп активы у протокола, пока действовали аномальные сведения о ценах. Бонзо сообщил, что данный акк позднее связался с командой, представившись «белым» исследователем безопасности и выразив желание возвратить средства. Протокол изучает эту операцию в рамках процесса возврата средств.
Говорилось, что атака затронула только сервисы Bonzo Lend и Bonzo Points. Сервисы Bonzo Vaults, Bonzo Bridge, также однобокие сервисы стейкинга и дестейкинга для BONZO и XBONZO продолжали трудиться в обыкновенном режиме.
График, показывающий снижение стоимости BONZO.
Работа пула предоставления кредита Bonzo Lend приостановлена на время проведения проверочных мероприятий и мероприятий по восстановлению. Bonzo Finance Labs и Bonzo Finance Foundation сообщили о том, что оценивают условия, при которых протокол быть может восстановлен, и функцию вывода активов продавцами платежеспособности.
Команда сообщила, что детали относительно возмещений пользователям, возврата средств и возобновления работы протокола будут сообщены позднее в некотором обращении.
*Это не инвестиционная рекомендация.