Le protocole de prêt basé sur Hedera, Bonzo Lend, a perdu environ 9,05 millions de dollars après qu'un attaquant a manipulé le prix de SAUCE utilisé comme garantie. Bonzo Finance Labs a déclaré que l'incident a commencé le 11 juillet 2026, lorsqu'un portefeuille a soumis un faux prix SAUCE à un contrat Oracle Supra tiers. L'attaquant a déposé 250 SAUCE, d'une valeur de seulement quelques dollars, avant que le flux ne considère les jetons comme étant de grande valeur.
Résumé
- Un attaquant a gonflé le prix oracle de SAUCE et a emprunté des actifs d'une valeur d'environ 9,05 millions de dollars à Bonzo.
- Le vérificateur de Supra a accepté une signature mise à zéro, permettant à la fausse mise à jour de prix d'atteindre le réseau principal Hedera.
- Bonzo a suspendu ses prêts pendant que les équipes poursuivent leur redressement, les correctifs et le retour promis des fonds en chapeau blanc.
Huit secondes après que le faux prix ait atteint le réseau, le portefeuille a emprunté 6,63 millions d'USDC et plus de 34,5 millions de HBAR enveloppés. Bonzo a décrit la perte globale comme étant « d’environ 9,05 millions de dollars ». Le protocole a suspendu Bonzo Lend à 01h41 UTC et a arrêté Bonzo Points plus tard dans la matinée. Bonzo Vaults, Bonzo Bridge et le jalonnement BONZO unilatéral ont continué à fonctionner.
La signature mise à zéro a réussi le vérificateur de Supra
Le rapport d'incident de Bonzo fait remonter l'événement au processus de vérification de signature de Supra. La mise à jour portait une signature mise à zéro au lieu d'une signature valide du comité Oracle de Supra. Bonzo a déclaré que le vérificateur n'avait pas rejeté les entrées de valeur nulle avant de les envoyer au contrat du système de couplage d'Hedera.
La vérification d'appariement a renvoyé vrai car les deux valeurs représentaient le point d'identité mathématique. Le contrat de Supra traitait alors ce résultat comme une preuve d'une signature valide du comité. Bonzo a déclaré qu'« aucune signature d'oracle valide n'a été falsifiée » et que le prix réel du marché de SAUCE n'a pas augmenté. Supra a depuis déployé un correctif pour le contrat de vérificateur concerné sur le réseau principal Hedera, selon le rapport.
Bonzo affirme que ses contrats de prêt suivaient leur code
Bonzo a déclaré que ses contrats de prêt lisaient la valeur manipulée à partir du flux Oracle approuvé et calculaient le pouvoir d'emprunt à partir de ces données. L’équipe a déclaré que le pool de prêts avait agi comme prévu après avoir reçu de fausses informations. Son rapport a exclu un bug du contrat Bonzo, une attaque de prêt flash et une manipulation normale du marché.
Un deuxième compte a emprunté environ 1 million de dollars alors que le prix anormal restait actif. Ce portefeuille a ensuite contacté l'équipe et s'est décrit comme un intervenant au chapeau blanc. Il a déclaré qu'il prévoyait de restituer les actifs. Bonzo a exclu ce montant de son chiffre de perte de 9,05 millions de dollars car les pourparlers de rétablissement restent actifs. Le rapport publié n'avait pas confirmé le retour.
Crypto.news a suivi les transferts avant que Bonzo ne confirme la perte
Avant que Bonzo ne publie ses conclusions, crypto.news a rapporté que les chercheurs en sécurité avaient suivi le transfert de plus de 5,8 millions de dollars d'Hedera vers Ethereum. Les chercheurs ont déclaré que le portefeuille reliait les actifs via LayerZero et convertissait une partie des avoirs du Bitcoin enveloppé en Ether. HBAR a chuté de plus de 2 % à mesure que les transferts se poursuivaient.
La documentation Oracle de Bonzo répertorie les flux Supra pour SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM et HST par rapport au HBAR enveloppé. L'incident a affecté le couple SAUCE. Bonzo a déclaré que la publication légitime a rétabli ce prix à environ 0,1964 HBAR à 01h36 UTC, cinq minutes avant la pause du pool de prêts.
Le dernier rapport de Bonzo élevait le montant confirmé du principal pris par le principal attaquant à environ 9,05 millions de dollars. Un article de Wu Blockchain a également partagé les conclusions du protocole. Bonzo Lend reste en pause tandis que Bonzo Finance Labs et la Fondation Bonzo Finance travaillent avec des partenaires sur des plans de récupération d'actifs, de réparations et de retrait pour les fournisseurs de liquidités. L'équipe n'a pas fixé de date pour la réouverture du pool de prêts.
Voir l’article original en anglais
