Bonzo Lend perd 9 millions de dollars après une faille d’oracle sur Hedera

L’attaque a exploité une faille dans un contrat oracle Supra, provoquant aussi une forte baisse de la TVL sur Hedera. Bonzo évalue pour l’instant les dommages à 9,05 millions de dollars, avec des prêts supplémentaires via un second wallet.

À retenir

• Bonzo Lend a perdu environ 9,05 millions de dollars après qu’un attaquant a tiré parti d’une erreur de vérification dans un contrat oracle Supra tiers sur Hedera.
• L’attaquant a manipulé le flux de prix, déposé 250 jetons SAUCE, puis emprunté 6,63 millions d’USDC et 34,52 millions de wrapped HBAR.
• La valeur totale verrouillée sur Hedera est tombée à 25,7 millions de dollars, soit près de 40% de moins que 24 heures plus tôt.

Bonzo Lend, un protocole de prêt décentralisé sur Hedera, a subi une perte d’environ 9,05 millions de dollars (7,9 millions d’euros) après qu’un attaquant a exploité une erreur de vérification dans un contrat oracle Supra tiers. En faussant le flux de prix, l’attaquant a pu emprunter bien au-delà de ce que le collatéral initial permettait réellement, un risque bien connu pour les protocoles DeFi qui s’appuient sur des oracles externes.

Comment l’attaque a fonctionné

D’après un rapport d’incident préliminaire, l’attaquant a commencé par déposer 250 jetons SAUCE, dont la valeur était faible. Une mise à jour de prix manipulée a ensuite artificiellement gonflé leur valeur en HBAR. Sur cette base, le compte a pu emprunter 6,63 millions d’USDC et 34,52 millions de wrapped HBAR. Avec le prix du HBAR de 0,06998 dollar (0,061 euro) retenu par Bonzo dans son rapport, le montant total atteignait environ 9,05 millions de dollars (7,9 millions d’euros).

Le protocole a également précisé qu’un second wallet avait emprunté pour environ 1 million de dollars (0,9 million d’euros) d’actifs supplémentaires pendant que le prix erroné restait en place. Ce wallet a ensuite pris contact avec Bonzo sur Discord, s’est présenté comme un intervenant white-hat et a indiqué vouloir restituer les fonds. Bonzo a exclu ces actifs de son estimation des pertes principales, ce qui porte le total des emprunts initiaux liés à l’incident à environ 10,06 millions de dollars (8,8 millions d’euros) avant récupération.

Pression sur la TVL de Hedera

Les conséquences ne se sont pas limitées à Bonzo. Selon DeFiLlama, la valeur totale verrouillée sur Hedera ressort désormais à 25,7 millions de dollars (22,5 millions d’euros), soit près de 40% de moins qu’il y a 24 heures. Sur un réseau où la liquidité et la confiance dans les protocoles de prêt sont étroitement liées, cette baisse illustre la rapidité avec laquelle un incident lié à un oracle peut se propager à l’ensemble de l’activité DeFi. L’épisode s’ajoute à une série plus large d’incidents sur le réseau, dont un précédent hack sur Hedera dont les dommages avaient déjà dépassé 5 millions de dollars (4,4 millions d’euros).

Le risque oracle reste central

Cette attaque rappelle une fois de plus à quel point la DeFi reste exposée lorsque les flux de prix fournis par des tiers constituent le point faible du dispositif. Des incidents antérieurs, comme l’exploit de 117 millions de dollars (102 millions d’euros) subi par Mango Markets en 2022, avaient déjà montré qu’une manipulation d’oracles peut provoquer des pertes massives sans qu’un protocole soit directement hacké. Pour les lecteurs européens de crypto, cela souligne que la sécurité ne dépend pas seulement des wallets ou des smart contracts, mais aussi de l’infrastructure qui transmet les prix aux marchés de prêt.