Експлойт у Bonzo Lend на Hedera: маніпуляція оракулом обійшлася протоколу в $9 млн
DeFi-протокол Bonzo Lend, що працює в екосистемі Hedera, став жертвою витонченої атаки на ціновий оракул. Зловмисник зумів вивести активи на суму близько $9 мільйонів, скориставшись вразливістю в сторонньому постачальнику даних.
Як було проведено атаку
Згідно з детальним аналізом команди Bonzo Finance, атакуючий вніс як заставу лише 250 токенів SAUCE. Потім він передав в оракул підроблену ціну цього активу, штучно завищивши її приблизно в трильйон разів. Це дозволило зловмиснику позичити близько 6,6 млн USDC та 34,5 млн wHBAR за практично нульового реального забезпечення. Інцидент був пов'язаний не з помилками в смарт-контрактах самого протоколу, а з вразливістю в системі верифікації цін постачальника оракулів Supra.
Реакція та поточний статус
Після виявлення атаки роботу кредитного сервісу та програму нарахування балів Bonzo Lend було негайно призупинено. Розробники заявили про співпрацю з партнерами по екосистемі Hedera для аналізу інциденту та підготовки плану з відновлення активів. Примітно, що один з адрес, які брали участь у виведенні близько $1 млн у момент аномальної ціни SAUCE, ідентифікував себе як «білий хакер» і висловив намір повернути кошти.
Експертна думка
Цей випадок знову підкреслює критичну важливість безпеки оракулів у DeFi. Навіть за бездоганних смарт-контрактів, залежність від одного джерела даних може призвести до катастрофічних наслідків. Для порівняння: за даними Immunefi, у першій половині року криптопроєкти втратили близько $972 млн в результаті 207 інцидентів, і атаки на оракули залишаються однією з найдорожчих загроз для індустрії.