Bonzo Lend pierde 9,05 millones de dólares tras un exploit de oracle en Hedera
El ataque aprovechó un fallo en un contrato oracle de Supra, lo que también provocó una fuerte caída del TVL en Hedera. Bonzo cifra por ahora el daño en 9,05 millones de dólares, con préstamos adicionales a través de una segunda wallet.
Puntos clave
- Bonzo Lend perdió aproximadamente 9,05 millones de dólares después de que un atacante aprovechara un fallo de verificación en un contrato oracle de Supra de un tercero en Hedera.
- El atacante manipuló el feed de precios, depositó 250 tokens SAUCE y luego pidió prestados 6,63 millones de USDC y 34,52 millones de wrapped HBAR.
- El valor total bloqueado en Hedera cayó a 25,7 millones de dólares, casi un 40% menos que 24 horas antes.
Bonzo Lend, un protocolo de préstamos descentralizado sobre Hedera, ha sufrido una pérdida de aproximadamente 9,05 millones de dólares (7,9 millones de euros) después de que un atacante explotara un fallo de verificación en un contrato oracle de Supra operado por un tercero. Al alterar el feed de precios, el atacante consiguió ampliar de forma artificial el crédito disponible frente a una garantía que no lo respaldaba, un riesgo habitual en los protocolos DeFi que dependen de oráculos externos.
Cómo funcionó el ataque
De acuerdo con un informe preliminar del incidente, el atacante primero depositó 250 tokens SAUCE, de escaso valor. A continuación, una actualización de precios manipulada elevó de forma artificial su valoración en HBAR. Con esa base, la cuenta logró pedir prestados 6,63 millones de USDC y 34,52 millones de wrapped HBAR. Tomando como referencia el precio de HBAR de 0,06998 dólares (0,061 euros) que Bonzo incluyó en el informe, el importe ascendía a unos 9,05 millones de dólares (7,9 millones de euros).
El protocolo añadió que una segunda wallet obtuvo además cerca de 1 millón de dólares (0,9 millones de euros) en activos adicionales mientras la desviación de precios seguía activa. Más tarde, esa wallet contactó con Bonzo a través de Discord, se identificó como una respuesta white-hat y afirmó que pretendía devolver los fondos. Bonzo excluyó esos activos de su estimación principal de pérdidas, por lo que el principal prestado durante el incidente alcanzó unos 10,06 millones de dólares (8,8 millones de euros) antes de cualquier recuperación.
Presión sobre el TVL de Hedera
El impacto no se limitó a Bonzo. Según DeFiLlama, el valor total bloqueado en Hedera se sitúa ahora en 25,7 millones de dólares (22,5 millones de euros), casi un 40% por debajo del nivel registrado 24 horas antes. En una red donde la liquidez y la confianza en los protocolos de préstamos están estrechamente conectadas, esta caída muestra la rapidez con la que un incidente de oracle puede extenderse al conjunto de la actividad DeFi. El episodio se suma, además, a otros incidentes recientes en la red, incluido un exploit anterior en Hedera en el que las pérdidas ya superaban los 5 millones de dólares (4,4 millones de euros).
El riesgo de los oráculos sigue siendo central
El ataque vuelve a evidenciar hasta qué punto DeFi puede quedar expuesto cuando los feeds de precios de terceros se convierten en un punto débil. Casos anteriores, como el exploit de 117 millones de dólares (102 millones de euros) de Mango Markets en 2022, ya demostraron que la manipulación de oráculos puede causar daños significativos sin necesidad de comprometer directamente el protocolo. Para los lectores europeos de criptomonedas, esto resulta especialmente relevante porque la seguridad no depende solo de las wallets o de los smart contracts, sino también de la infraestructura que transmite los precios a los mercados de préstamos.
