Hedera-basert utlånsprotokoll Bonzo Lend rammet av angrep
Bonzo Lend, en Hedera-basert utlånsprotokoll, mistet omtrent 9,05 millioner dollar etter at en angriper manipulerte prisen på SAUCE, som ble brukt som sikkerhet. Hendelsen begynte 11. juli 2026, da en lommebok sendte en falsk SAUCE-pris til en tredjeparts Supra-oracle-kontrakt.
Angrepet og konsekvenser
Angriperen deponerte 250 SAUCE, som var verdt bare noen få dollar, før feeden behandlet tokenene som svært verdifulle. Åtte sekunder etter at den falske prisen nådde nettverket, lånte lommeboken 6,63 millioner USDC og mer enn 34,5 millioner wrapped HBAR. Bonzo beskrev det totale tapet som «omtrent 9,05 millioner dollar.» Protokollen pauset Bonzo Lend kl. 01:41 UTC og stoppet Bonzo Points senere den morgenen.
Årsaken til angrepet
Bonzos hendelsesrapport sporet hendelsen tilbake til Supras signaturverifiseringsprosess. Oppdateringen hadde en nullsignatur i stedet for en gyldig signatur fra Supras oracle-komité. Bonzo opplyste at verifiseringssystemet ikke klarte å avvise nullverdi-inndata før de ble sendt til Hedera sitt paringssystem-kontrakt. Paringskontrollen returnerte sann fordi begge verdiene representerte det matematiske identitetspunktet.
«Ingen gyldig oracle-signatur ble forfalsket»
Bonzo uttalte at SAUCEs reelle markedspris ikke steg. Supra har siden implementert en løsning på den berørte verifiseringskontrakten på Hedera mainnet, ifølge rapporten.
Reaksjoner og videre tiltak
Bonzo opplyste at deres utlånskontrakter leste den manipulerte verdien fra den godkjente oracle-feeden og beregnet lånekapasiteten basert på disse dataene. Teamet uttalte at utlånsbassenget opptrådte som designet etter å ha mottatt den falske inndataen. Rapporten utelukket en Bonzo-kontraktfeil, et flash-lån angrep og normal markedsmanipulasjon.
En annen konto lånte omtrent 1 million dollar mens den unormale prisen forble aktiv. Denne lommeboken kontaktet senere teamet og beskrev seg selv som en «white-hat responder». Den opplyste at den planla å returnere eiendelene. Bonzo utelukket dette beløpet fra sitt tap på 9,05 millioner dollar fordi gjenopprettingsforhandlinger fortsatt pågår.
Overføringer og markedsreaksjoner
Før Bonzo publiserte sine funn, rapporterte crypto.news at sikkerhetsforskere hadde sporet mer enn 5,8 millioner dollar som ble flyttet fra Hedera til Ethereum. Forskerne sa at lommeboken broet eiendeler gjennom LayerZero og konverterte en del av beholdningen fra wrapped Bitcoin til Ether. HBAR falt mer enn 2 prosent mens overføringene fortsatte.
Bonzos oracle-dokumentasjon lister Supra-feeder for SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM og HST mot wrapped HBAR. Hendelsen påvirket SAUCE-paret. Bonzo opplyste at legitim publisering gjenopprettet prisen til omtrent 0,1964 HBAR kl. 01:36 UTC, fem minutter før utlånsbassenget ble pauset.
Fremtidige planer
Den senere Bonzo-rapporten hevet det bekreftede hovedbeløpet tatt av hovedangriperen til omtrent 9,05 millioner dollar. Bonzo Lend forblir pauset mens Bonzo Finance Labs og Bonzo Finance Foundation jobber med partnere om eiendelsgjenoppretting, reparasjoner og uttaksplaner for likviditetsleverandører. Teamet har ikke satt en dato for gjenåpning av utlånsbassenget.
