Bonzo Lend verliert nach Oracle-Exploit auf Hedera rund 9 Millionen Dollar
Der Angriff nutzte einen Fehler in einem Supra-Oracle-Contract aus. Dadurch sank auch die TVL auf Hedera deutlich. Bonzo beziffert den Schaden vorerst auf 9,05 Millionen Dollar, hinzu kamen weitere Kredite über eine zweite Wallet.
Wichtigste Erkenntnisse
- Bonzo Lend hat nach Schätzungen rund 9,05 Millionen Dollar verloren, nachdem ein Angreifer einen Verifizierungsfehler in einem Supra-Oracle-Contract eines Drittanbieters auf Hedera ausgenutzt hat.
- Der Angreifer manipulierte den Preis-Feed, hinterlegte 250 SAUCE-Token und lieh sich anschließend 6,63 Millionen USDC sowie 34,52 Millionen wrapped HBAR.
- Der gesamte gebundene Wert auf Hedera fiel auf 25,7 Millionen Dollar und lag damit fast 40 % unter dem Stand von 24 Stunden zuvor.
Bonzo Lend, ein dezentrales Kreditprotokoll auf Hedera, hat nach eigenen Angaben schätzungsweise 9,05 Millionen Dollar (7,9 Millionen Euro) verloren. Auslöser war ein Verifizierungsfehler in einem Supra-Oracle-Contract eines Drittanbieters, den ein Angreifer ausnutzen konnte. Durch die Manipulation des Preis-Feeds ließ sich deutlich mehr Kapital aufnehmen, als die hinterlegte Sicherheit eigentlich hergab. Für DeFi-Protokolle, die auf externe Oracles angewiesen sind, ist das ein bekanntes Risikoszenario.
Wie der Angriff ablief
Laut einem vorläufigen Incident-Report begann der Angreifer damit, 250 SAUCE-Token zu hinterlegen, die nur einen geringen Wert hatten. Anschließend folgte ein manipuliertes Preis-Update, das den HBAR-Wert dieser Token künstlich nach oben setzte. Auf dieser Grundlage nahm der Account 6,63 Millionen USDC und 34,52 Millionen wrapped HBAR auf. Bei dem von Bonzo im Bericht angesetzten HBAR-Preis von 0,06998 Dollar (0,061 Euro) entsprach das rund 9,05 Millionen Dollar (7,9 Millionen Euro).
Das Protokoll teilte außerdem mit, dass eine zweite Wallet während der Phase der Preisabweichung weitere Assets im Wert von rund 1 Million Dollar (0,9 Millionen Euro) geliehen habe. Diese Wallet nahm später über Discord Kontakt zu Bonzo auf, bezeichnete sich als White-Hat-Responder und erklärte, die Mittel zurückgeben zu wollen. Bonzo nahm diese Assets nicht in die Headline-Loss-Schätzung auf. Damit belief sich das insgesamt während des Vorfalls geliehene Kapital vor der Wiederherstellung auf rund 10,06 Millionen Dollar (8,8 Millionen Euro).
Druck auf die Hedera TVL
Die Folgen blieben nicht auf Bonzo beschränkt. Laut DeFiLlama liegt der gesamte auf Hedera gebundene Wert inzwischen bei 25,7 Millionen Dollar (22,5 Millionen Euro) und damit fast 40 % unter dem Niveau von 24 Stunden zuvor. Gerade in einem Netzwerk, in dem Liquidität und Vertrauen in Kreditprotokolle eng zusammenhängen, zeigt ein solcher Rückgang, wie schnell sich ein Oracle-Vorfall auf die breitere DeFi-Aktivität auswirken kann. Das reiht sich in eine Serie von Vorfällen im Netzwerk ein, darunter ein früherer Exploit auf Hedera, bei dem der Schaden bereits über 5 Millionen Dollar (4,4 Millionen Euro) lag.
Oracle-Risiko bleibt zentral
Der Vorfall macht erneut deutlich, wie anfällig DeFi sein kann, wenn Preis-Feeds von Drittanbietern zur Schwachstelle werden. Frühere Fälle, etwa der 117-Millionen-Dollar-Exploit bei Mango Markets im Jahr 2022, haben bereits gezeigt, dass Oracle-Manipulation erheblichen Schaden anrichten kann, ohne dass ein Protokoll direkt gehackt werden muss. Für europäische Krypto-Interessierte ist das relevant, weil es zeigt, dass Sicherheit nicht nur von Wallets oder Smart Contracts abhängt, sondern auch von der Infrastruktur, die Preise an Kreditmärkte weitergibt.
