Le protocole de prêt Bonzo Lend, qui opère sur le réseau Hedera, s'est vu voler quelque 9,05 millions de dollars après qu'un attaquant a exploité une faille dans la vérification d'un contrat Oracle tiers. L’incident a effacé environ 77 % de la valeur totale bloquée sur la plateforme et a ébranlé l’ensemble de l’écosystème financier décentralisé Hedera.
Selon le rapport préliminaire de l'incident publié par le protocole lui-même, la vulnérabilité ne résidait pas dans le code de Bonzo mais dans un contrat du fournisseur d'oracle Supra, l'infrastructure chargée d'alimenter le protocole avec des données externes sur les prix.
Comment l'attaque a fonctionné
Les oracles sont un composant essentiel de DeFi : ce sont les services qui connectent les contrats intelligents aux informations du monde réel, telles que le prix d'un actif. Lorsque ce flux de données peut être manipulé, un attaquant parvient à tromper le protocole pour qu'il sous-évalue la garantie et libère des fonds qui ne lui appartiennent pas.
Dans ce cas, l'attaquant a exploité une faille de vérification dans le contrat oracle de Supra, lui permettant de drainer les actifs déposés dans Bonzo Lend. Le montant volé, près de 9 millions de dollars, représentait l'essentiel des liquidités que les utilisateurs avaient confiées au service de prêt.
Coup dur pour la liquidité d'Hedera
La baisse de la valeur bloquée dans Bonzo a eu un effet direct sur les mesures DeFi dans Hedera, un réseau qui rivalise pour attirer des capitaux contre des chaînes plus établies. Les données des plateformes de surveillance comme DefiLlama reflètent la contraction après l’attaque, rappelant à quel point la liquidité peut être concentrée dans les écosystèmes émergents.
Lorsqu’un seul protocole concentre une bonne partie du capital d’une chaîne, un exploit de cette ampleur a des répercussions au-delà de ses propres utilisateurs et affecte la perception du risque de l’ensemble du réseau.
Les oracles, un point faible récurrent
L'épisode rejoint une longue liste d'attaques dans DeFi liées à la manipulation ou au dysfonctionnement des oracles. Même si les protocoles auditent généralement leur propre code, la dépendance à l'égard de prestataires externes introduit une surface d'attaque difficilement contrôlable : la sécurité de l'ensemble est liée au maillon le plus fragile de la chaîne des données.
Bonzo a indiqué qu'il travaillait en collaboration avec le fournisseur concerné pour clarifier l'origine exacte de la panne et évaluer les possibilités d'indemnisation pour les utilisateurs concernés. Jusqu'à présent, il n'a pas été précisé si les fonds pourraient être récupérés ni l'identité de l'attaquant.
Pour ceux impliqués dans les protocoles de prêt, l’affaire pose une fois de plus une question inconfortable : une grande partie du risque de DeFi ne réside pas dans le contrat principal, mais dans les éléments d’infrastructure que presque personne n’examine jusqu’à ce que quelque chose se brise.