Атака на Bonzo Lend через оракул: збиток у $9 млн і трильйонний стрибок ціни SAUCE
DeFi-протокол Bonzo Lend, що працює в екосистемі Hedera, став жертвою цілеспрямованої атаки, під час якої зловмисник вивів активи на суму близько $9 млн. Ключову вразливість було знайдено не в смарт-контрактах самого протоколу, а в сторонньому постачальнику цінових оракулів Supra.
Маніпуляція ціною: трильйонний стрибок SAUCE
Згідно з моїм аналізом інциденту, атакуючий діяв за класичною схемою маніпуляції оракулом. Він вніс як заставу 250 токенів SAUCE, після чого передав в оракул підроблені дані, завищивши ціну активу приблизно в трильйон разів. Це дозволило йому позичити близько 6,6 млн USDC та 34,5 млн wHBAR за практично нульового забезпечення. По суті, зловмисник створив ілюзію гігантської застави, яка насправді не мала реальної цінності.
Реакція команди та пошук винних
Команда Bonzo Finance оперативно призупинила роботу кредитного сервісу та програми нарахування балів. Розробники прямо вказують, що інцидент пов'язаний з помилкою в системі верифікації цін постачальника оракулів Supra, а не з помилками в смарт-контрактах протоколу. Зараз вони співпрацюють з партнерами по екосистемі Hedera для аналізу інциденту та підготовки плану відновлення активів.
Цікавий поворот: одна з адрес, що брала участь у виведенні близько $1 млн під час «вікна» аномальної ціни SAUCE, ідентифікувала себе як «білий хакер» і заявила про намір повернути кошти. Це може пом'якшити частину збитків, але не скасовує системної проблеми.
Контекст ринку
Нагадаю, що в першій половині цього року криптопроєкти втратили близько $972 млн в результаті 207 інцидентів. Атака на Bonzo Lend — ще одне нагадування про те, що навіть надійні протоколи можуть бути скомпрометовані через інфраструктурні шари, такі як оракули.
Експертна думка: Цей випадок підкреслює критичну важливість децентралізації та множинної верифікації даних в оракулах. Залежність від єдиного постачальника цінових даних — це ризик, який може звести нанівець усі зусилля з безпеки смарт-контрактів. Інвесторам варто звертати увагу на те, які оракули використовує протокол, перш ніж вносити ліквідність.