A Bonzo Lend 9 millió dollárt veszített egy orákulumhiba miatt

A Bonzo Lend támadója néhány dollárnyi fedezet árát manipulálva 9 millió dollárt vitt el. A Bonzo a Supra orákulumának hibáját nevezi meg okként.

Röviden:

• Néhány dollárnyi, 250 SAUCE-ból álló fedezettel a támadó a valós érték felett vehetett fel hitelt.
• A támadó 6,63 millió USDC-t és 34,5 millió wrapped HBAR-t vett fel a hitelezési poolból.
• A Supra javította a hibás ellenőrzőt; a támadás nem a Bonzo szerződéseit vagy a Hedera hálózatát érintette.
• A második negyedév 83 incidense során mintegy 755 millió dollárt loptak el a DeFi-protokolloktól.

A Bonzo Lend feltörése néhány dollárnyi fedezettel indult

A Bonzo Lend feltörése egy kétlépcsős művelettel indult: a támadó előbb elhelyezte a SAUCE-fedezetet, majd külön árfrissítést küldött a rendszernek. A Bonzo szombaton közzétett előzetes incidensjelentése alapján a hitelezési protokoll ezt követően már a manipulált értékkel számolt.

A tárca így nem a ténylegesen befizetett összeg, hanem az orákulum által továbbított ár alapján jutott hitelkerethez. A támadó ezt használta ki a hitelezési pool likviditásának kivonására.

A mesterségesen felértékelt SAUCE-fedezet milliós kölcsönöket tett lehetővé

A beküldött árfrissítés mintegy 12 nagyságrenddel emelte meg a SAUCE rendszerben nyilvántartott értékét. A hitelezési logika emiatt úgy kezelte a fedezetet, mintha az a valós piaci árának sokszorosát érné.

A támadó nem a fedezet mennyiségét növelte, hanem annak elszámolt árát torzította el. A Bonzo ezután a mesterséges értékelés alapján engedélyezte a kölcsönfelvételt, ami megmutatja, hogy egy hibás árfolyamadat önmagában is elegendő lehet egy hitelezési pool kiürítéséhez.

A Bonzo a Supra hibás orákulum-ellenőrzőjét nevezte meg okként

A Bonzo a Supra blokkláncon működő orákulum-ellenőrzőjében azonosította a hiba forrását. Az ellenőrző elfogadta a manipulált SAUCE-árat annak ellenére, hogy az adatcsomag nullázott aláírást tartalmazott.

A Supra elismerte a problémát, majd módosította az érintett ellenőrzőt. Az eset arra mutat rá, hogy a DeFi-hitelezés biztonsága nemcsak az okos szerződésektől függ: a fedezet árazását biztosító külső adatkapcsolat hibája is közvetlen hozzáférést nyithat a protokoll likviditásához.

A második negyedévben 83 DeFi-feltörést jegyeztek fel

2026 második negyedévében az ellopott összegből 351 millió dollár a kereszt-láncú hidak elleni támadásokhoz kötődött. A megszerzett adminisztrátori hozzáférések és a hamis tokenárak manipulálása együttesen a negyedéves veszteségek 37%-át adta.

A CryptoRank 2026 első felében 121 támadást és mintegy 942 millió dolláros kárt rögzített. Eközben a DeFi-protokollokban lekötött teljes érték január és június között 39%-kal, körülbelül 115 milliárd dollárról több mint 70 milliárd dollárra csökkent.

A Bonzo esete egy februári Stellar-támadást is felidéz. Akkor a támadók az USTRY fedezet árazási útvonalát manipulálva nagyjából 10 millió dollárt vontak ki a YieldBlox DAO által kezelt hitelezési poolból.

Hogyan értelmezzük ezt a hírt?

Ez az eset súlyos figyelmeztetés a DeFi-hitelezés számára: hiába működött a Bonzo Lend okos szerződése és a Hedera hálózata a tervek szerint, egy hibás külső árfolyamellenőrzés elég volt ahhoz, hogy néhány dollárnyi fedezetből 9 millió dolláros veszteség keletkezzen. A Supra gyors javítása szükséges lépés, de a történet rámutat, hogy a hitelezési protokollok biztonságát a hozzájuk kapcsolódó orákulumok minősége is meghatározza.

A 250 SAUCE és a 6,63 millió USDC közötti különbség különösen jól mutatja, mekkora kárt okozhat egyetlen hibásan elfogadott árfolyamadat. A felhasználóknak ezért a DeFi-protokolloknál nemcsak azt érdemes figyelniük, melyik láncon fut egy protokoll, hanem azt is, milyen adatforrásokból számolja a fedezetek értékét. A Bonzo incidense nem a Hedera hibája, de világosan jelzi, hogy az orákulumok ellenőrzése a teljes rendszer egyik legérzékenyebb pontja.