Bonzo Lend perde 9 milioni di dollari dopo un exploit dell’oracle su Hedera

L’attacco ha sfruttato un errore in un contratto oracle di Supra, facendo crollare anche il TVL su Hedera. Bonzo stima per ora il danno in 9,05 milioni di dollari, con prestiti extra tramite un secondo wallet.

In breve

• Bonzo Lend ha perso circa 9,05 milioni di dollari dopo che un attaccante ha sfruttato un errore di verifica in un contratto oracle Supra di terze parti su Hedera.
• L’attaccante ha manipolato il price feed, depositato 250 token SAUCE e poi preso in prestito 6,63 milioni di USDC e 34,52 milioni di wrapped HBAR.
• Il valore totale bloccato su Hedera è sceso a 25,7 milioni di dollari, quasi il 40% in meno rispetto a 24 ore prima.

Bonzo Lend, protocollo di lending decentralizzato su Hedera, ha subito una perdita di circa 9,05 milioni di dollari (7,9 milioni di euro) dopo che un attaccante è riuscito a sfruttare un errore di verifica in un contratto oracle Supra di terze parti. Alterando il price feed, l’attaccante ha potuto prendere in prestito molto più di quanto il collateral avrebbe dovuto consentire, un problema tipico per i protocolli DeFi che si appoggiano a oracle esterni.

Come ha funzionato l’attacco

Secondo un rapporto preliminare sull’incidente, l’attaccante ha inizialmente depositato 250 token SAUCE, dal valore contenuto. In seguito è arrivato un aggiornamento del prezzo manipolato, che ha gonfiato artificialmente il valore in HBAR di quei token. A quel punto l’account ha preso in prestito 6,63 milioni di USDC e 34,52 milioni di wrapped HBAR. Usando il prezzo di HBAR di 0,06998 dollari (0,061 euro) indicato da Bonzo nel report, il valore complessivo arrivava a circa 9,05 milioni di dollari (7,9 milioni di euro).

Il protocollo ha aggiunto che un secondo wallet ha ottenuto altri circa 1 milione di dollari (0,9 milioni di euro) in asset aggiuntivi mentre il prezzo anomalo era ancora in vigore. Più tardi, quel wallet ha contattato Bonzo su Discord, presentandosi come un white-hat responder e dicendo di voler restituire i fondi. Bonzo ha escluso questi asset dal conteggio della perdita principale, per cui il capitale totale preso in prestito durante l’incidente è salito a circa 10,06 milioni di dollari (8,8 milioni di euro) prima del recupero.

Pressione sul TVL di Hedera

L’effetto dell’attacco non si è limitato a Bonzo. Secondo DeFiLlama, il valore totale bloccato su Hedera è ora pari a 25,7 milioni di dollari (22,5 milioni di euro), quasi il 40% in meno rispetto a 24 ore prima. In una rete dove liquidità e fiducia nei protocolli di lending sono strettamente collegate, un calo di questo tipo mostra quanto velocemente un problema legato agli oracle possa pesare sull’attività DeFi più ampia. Il tutto arriva dopo una serie più ampia di incidenti sulla rete, incluso un precedente exploit su Hedera in cui il danno aveva già superato i 5 milioni di dollari (4,4 milioni di euro).

Il rischio oracle resta centrale

L’episodio riporta al centro un punto noto nella DeFi: quando i price feed di terze parti diventano il punto debole, l’intero sistema si espone a rischi importanti. Casi precedenti, come l’exploit da 117 milioni di dollari (102 milioni di euro) di Mango Markets nel 2022, avevano già mostrato che la manipolazione degli oracle può provocare danni enormi anche senza colpire direttamente il protocollo. Per chi segue il settore crypto in Europa, il messaggio è chiaro: la sicurezza non riguarda solo wallet e smart contract, ma anche l’infrastruttura che porta i prezzi dentro i mercati di lending.