Новини криптоміра

Екосистема Hedera зіткнулася з серйозним інцидентом безпеки: DeFi-протокол Bonzo Lend зазнав атаки, в результаті якої зловмисник викрав активи на суму близько $9 млн. Ключовою причиною злому стала компрометація стороннього цінового оракула Supra, а не вразливість у смарт-контрактах самого протоколу.

Згідно з детальним аналізом команди Bonzo Finance, атакуючий використав витончену схему. Як заставу було внесено лише 250 токенів SAUCE. Потім хакер передав оракулу підробну ціну цього активу, штучно завищивши її приблизно в трильйон разів. Це дозволило йому позичити близько 6,6 млн USDC та 34,5 млн wHBAR при практично нульовому забезпеченні. По суті, маніпуляція ціновим фідом дала змогу обійти механізми оцінки застави та вивести ліквідність пулу.

Після виявлення атаки команда Bonzo Lend негайно призупинила роботу кредитного сервісу та програми нарахування балів. Розробники підкреслили, що інцидент пов'язаний саме з помилкою в системі верифікації цін постачальника оракулів Supra, а не з помилками в коді самого протоколу. Ведеться активна співпраця з партнерами по екосистемі Hedera для аналізу інциденту та підготовки плану відновлення коштів.

Примітно, що одна з адрес, яка брала участь у виведенні близько $1 млн у момент аномальної ціни SAUCE, ідентифікувала себе як «білий хакер» і заявила про намір повернути кошти. Це дає надію на часткове відшкодування збитків, однак доля решти $8 млн поки залишається під питанням.

Експертний коментар: Даний інцидент — чергове нагадування про критичну роль оракулів у DeFi. Навіть найнадійніші смарт-контракти марні, якщо зовнішнє джерело даних (у даному випадку — ціновий фід) може бути скомпрометоване. Атака на Bonzo Lend демонструє, що проектам необхідно впроваджувати багаторівневі системи верифікації цін та використовувати децентралізовані оракули з механізмами захисту від маніпуляцій. В іншому випадку ми спостерігатимемо повторення подібних сценаріїв, коли збитки від атак у першому півріччі вже перевищили $972 млн.