Bonzo Lend verliest $9 miljoen na oracle-exploit op Hedera
De aanval misbruikte een fout in een Supra-oraclecontract, waardoor ook de TVL op Hedera fors daalde. Bonzo noemt de schade voorlopig $9,05 miljoen, met extra leningen via een tweede wallet.
Korte samenvatting
- Bonzo Lend verloor naar schatting $9,05 miljoen nadat een aanvaller een verificatiefout in een derdepartij-Supra oraclecontract op Hedera misbruikte.
- De aanvaller manipuleerde de prijsfeed, stortte 250 SAUCE-tokens en leende daarna 6,63 miljoen USDC en 34,52 miljoen wrapped HBAR.
- De totale vastgezette waarde op Hedera zakte naar $25,7 miljoen, bijna 40% lager dan 24 uur eerder.
Bonzo Lend, een gedecentraliseerd leenprotocol op Hedera, heeft naar schatting $9,05 miljoen (€7,9 miljoen) verloren nadat een aanvaller een verificatiefout in een derdepartij-Supra oraclecontract misbruikte. Door de prijsfeed te manipuleren kon de aanvaller veel meer lenen dan de onderliggende collateral rechtvaardigde, een klassiek risico voor DeFi-protocollen die afhankelijk zijn van externe oracles.
Hoe de aanval werkte
Volgens een voorlopig incidentrapport stortte de aanvaller eerst 250 SAUCE-tokens in, die weinig waarde hadden. Daarna volgde een gemanipuleerde prijsupdate die de HBAR-waarde van die tokens kunstmatig opdreef. Op basis daarvan leende de account 6,63 miljoen USDC en 34,52 miljoen wrapped HBAR. Bij de HBAR-prijs van $0,06998 (€0,061) die Bonzo in het rapport gebruikte, kwam dat neer op ongeveer $9,05 miljoen (€7,9 miljoen).
Het protocol meldde ook dat een tweede wallet nog eens ongeveer $1 miljoen (€0,9 miljoen) aan extra assets leende terwijl de afwijkende prijs actief bleef. Die wallet nam later via Discord contact op met Bonzo, noemde zich een white-hat responder en zei de fondsen te willen terugstorten. Bonzo liet die assets buiten de headline loss estimate, waardoor het totaal aan principal dat tijdens het incident werd geleend uitkwam op ongeveer $10,06 miljoen (€8,8 miljoen) vóór herstel.
Druk op Hedera TVL
De impact bleef niet beperkt tot Bonzo zelf. Volgens DeFiLlama staat de totale waarde vastgezet op Hedera nu op $25,7 miljoen (€22,5 miljoen), bijna 40% lager dan 24 uur eerder. Voor een netwerk waar liquiditeit en vertrouwen in leenprotocollen sterk samenhangen, laat zo'n daling zien hoe snel een oracle-incident doorwerkt in de bredere DeFi-activiteit. Dat past in een bredere reeks incidenten op het netwerk, waaronder een eerdere exploit op Hedera waarbij de schade al boven de $5 miljoen (€4,4 miljoen) uitkwam.
Oracle-risico blijft centraal
De aanval onderstreept opnieuw hoe kwetsbaar DeFi kan zijn wanneer prijsfeeds van derden een zwakke schakel vormen. Eerdere incidenten, zoals de $117 (€102) miljoen-exploit van Mango Markets in 2022, lieten al zien dat oracle-manipulatie grote schade kan aanrichten zonder dat een protocol zelf direct wordt gehackt. Voor Europese crypto-volgers is dit relevant omdat het laat zien dat security niet alleen draait om wallets of smart contracts, maar ook om de infrastructuur die prijzen doorgeeft aan leenmarkten.
