Bonzo Lend traci 9,05 mln dolarów po exploicie oracle na Hedera

Atak wykorzystał błąd w kontrakcie Supra oracle, co doprowadziło także do wyraźnego spadku TVL na Hedera. Bonzo szacuje na razie straty na 9,05 mln dolarów, a dodatkowe pożyczki zostały zaciągnięte za pośrednictwem drugiego portfela.

Najważniejsze informacje

• Bonzo Lend szacuje swoje straty na 9,05 mln dolarów po tym, jak atakujący wykorzystał lukę w mechanizmie weryfikacji w zewnętrznym kontrakcie Supra oracle na Hedera.
• Napastnik zmanipulował feed cenowy, zdeponował 250 tokenów SAUCE, a następnie zaciągnął pożyczki na 6,63 mln USDC i 34,52 mln wrapped HBAR.
• Łączna wartość zablokowana na Hedera spadła do 25,7 mln dolarów, czyli o prawie 40% mniej niż 24 godziny wcześniej.

Bonzo Lend, zdecentralizowany protokół pożyczkowy działający w sieci Hedera, oszacował straty na 9,05 mln dolarów (7,9 mln euro) po wykorzystaniu błędu weryfikacji w kontrakcie Supra oracle należącym do strony trzeciej. Po manipulacji feedem cenowym atakujący mógł zaciągnąć znacznie większe pożyczki, niż wynikało to z faktycznej wartości zabezpieczenia, co dobrze pokazuje ryzyko, z jakim mierzą się protokoły DeFi korzystające z zewnętrznych oracle.

Jak przebiegał atak

Zgodnie z wstępnym raportem incydentu sprawca najpierw zdeponował 250 tokenów SAUCE, których wartość była niewielka. Następnie doszło do zmanipulowanej aktualizacji ceny, która sztucznie podbiła wycenę tych tokenów w HBAR. Na tej podstawie konto pożyczyło 6,63 mln USDC oraz 34,52 mln wrapped HBAR. Przy cenie HBAR na poziomie 0,06998 dolara (0,061 euro), którą Bonzo przyjął w raporcie, odpowiadało to około 9,05 mln dolarów (7,9 mln euro).

Protokół przekazał też, że za pośrednictwem drugiego portfela zaciągnięto dodatkowo około 1 mln dolarów (0,9 mln euro) w aktywach, zanim nieprawidłowa cena przestała obowiązywać. Później ten portfel skontaktował się z Bonzo przez Discord, przedstawił się jako white-hat responder i zadeklarował chęć zwrotu środków. Bonzo nie uwzględnił tych aktywów w szacunku headline loss, dlatego łączna wartość kapitału pożyczonego w trakcie incydentu wyniosła około 10,06 mln dolarów (8,8 mln euro) przed odzyskaniem środków.

Presja na TVL Hedera

Skutki ataku nie ograniczyły się do samego Bonzo. Według DeFiLlama łączna wartość zablokowana w sieci Hedera wynosi obecnie 25,7 mln dolarów (22,5 mln euro), czyli prawie 40% mniej niż 24 godziny wcześniej. W ekosystemie, w którym płynność i zaufanie do protokołów pożyczkowych są ze sobą ściśle powiązane, tak głęboki spadek pokazuje, jak szybko incydent związany z oracle może odbić się na szerszej aktywności DeFi. To kolejny epizod w serii problemów tej sieci, w tym wcześniejszego exploitu na Hedera, w którym straty przekroczyły już 5 mln dolarów (4,4 mln euro).

Ryzyko związane z oracle pozostaje kluczowe

Ten atak ponownie pokazuje, jak wrażliwe może być DeFi, gdy feedy cenowe od zewnętrznych dostawców stają się najsłabszym ogniwem systemu. Wcześniejsze przypadki, takie jak exploit Mango Markets o wartości 117 mln dolarów (102 mln euro) z 2022 roku, już wcześniej udowodniły, że manipulacja oracle może wyrządzić ogromne szkody bez konieczności bezpośredniego włamania do samego protokołu. Dla europejskich obserwatorów rynku krypto to ważny sygnał, że bezpieczeństwo nie dotyczy wyłącznie portfeli czy smart kontraktów, lecz także infrastruktury dostarczającej ceny do rynków pożyczkowych.