Новини криптоміра

DeFi-протокол Bonzo Lend, що працює в екосистемі Hedera, став жертвою витонченої атаки, в результаті якої зловмисник вивів активи на суму близько $9 млн. Причиною інциденту стала компрометація стороннього цінового оракула, а не вразливості в смарт-контрактах самого протоколу.

Згідно з моїм аналізом звіту розробників Bonzo Finance, атакуючий вніс як заставу 250 токенів SAUCE, після чого маніпулював оракулом Supra, передавши підроблену ціну активу, завищену приблизно в трильйон разів. Це дозволило зловмиснику позичити близько 6,6 млн USDC та 34,5 млн wHBAR при практично нульовому реальному забезпеченні. Ключова помилка сталася саме в системі верифікації цін постачальника оракулів Supra, а не в коді Bonzo Lend.

Після виявлення атаки Bonzo Lend негайно призупинив роботу кредитного сервісу та програми нарахування балів. Розробники заявили, що співпрацюють з партнерами по екосистемі Hedera для аналізу інциденту та підготовки плану відновлення активів. Цікаво, що одна з адрес, яка брала участь у виведенні близько $1 млн під час «вікна» аномальної ціни SAUCE, ідентифікувала себе як «білий хакер» і повідомила про намір повернути кошти.

Мій коментар: Цей інцидент підкреслює фундаментальну проблему DeFi — залежність від сторонніх оракулів. Навіть найнадійніші смарт-контракти можуть бути скомпрометовані через маніпуляцію даними на вході. На тлі того, що в першій половині року криптопроєкти втратили близько $972 млн в результаті 207 інцидентів, атака на Bonzo Lend — чергове нагадування про необхідність багаторівневого захисту цінових фідів. Ринку потрібні децентралізовані оракули з вбудованими механізмами перевірки аномалій, інакше такі зломи повторюватимуться.