Incidenten med Bonzo Lend
Hedera-baserade låneprotokollet Bonzo Lend har förlorat cirka 9,05 miljoner dollar efter att en angripare manipulerade priset på SAUCE, som användes som säkerhet. Bonzo Finance Labs meddelade att incidenten inleddes den 11 juli 2026, när en plånbok skickade ett falskt SAUCE-pris till ett tredje parts Supra-oracle-kontrakt.
Manipulation av pris och lånekapacitet
Angriparen deponerade 250 SAUCE, som endast var värt några dollar, innan matningen behandlade token som mycket värdefull. Åtta sekunder efter att det falska priset nådde nätverket lånade plånboken 6,63 miljoner USDC och mer än 34,5 miljoner wrapped HBAR. Bonzo beskrev den totala förlusten som ”ungefär 9,05 miljoner dollar.”
Åtgärder och utredning
Bonzo pausade Bonzo Lend klockan 01:41 UTC och stoppade Bonzo Points senare samma morgon. Bonzo Vaults, Bonzo Bridge och enkel-sidig BONZO-staking fortsatte att fungera. Bonzos incidentrapport spårade händelsen till Supras signaturverifieringsprocess. Uppdateringen innehöll en nollad signatur istället för en giltig signatur från Supras oracle-kommitté.
”Ingen giltig oracle-signatur förfalskades” och att SAUCE:s verkliga marknadspris inte steg.
Supra har sedan dess implementerat en lösning på det påverkade verifierarkontraktet på Hedera mainnet. Bonzo förklarade att dess låneavtal läste det manipulerade värdet från den godkända oracle-matningen och beräknade lånekapaciteten utifrån dessa data. Teamet uppgav att lånepoolen agerade som avsett efter att ha mottagit den falska inmatningen.
Återställning och framtid
Rapporten uteslöt en bugg i Bonzo-kontraktet, en flash-låneattack och normal marknadsmanipulation. Ett andra konto lånade cirka 1 miljon dollar medan det onormala priset förblev aktivt. Den plånboken kontaktade senare teamet och beskrev sig själv som en white-hat-responder, och meddelade att den planerade att återlämna tillgångarna. Bonzo uteslöt det beloppet från sin förlustsiffra på 9,05 miljoner dollar eftersom återställningssamtal fortfarande pågår.
Innan Bonzo släppte sina fynd rapporterade crypto.news att säkerhetsforskare hade spårat mer än 5,8 miljoner dollar som rörde sig från Hedera till Ethereum. Forskare sa att plånboken brottade tillgångar genom LayerZero och konverterade en del av innehaven från wrapped Bitcoin till Ether. HBAR föll mer än 2% när överföringarna fortsatte.
Bonzos oracle-dokumentation listar Supra-matningar för SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM och HST mot wrapped HBAR. Incidenten påverkade SAUCE-paret. Bonzo meddelade att legitim publicering återställde det priset till cirka 0,1964 HBAR klockan 01:36 UTC, fem minuter innan lånepoolen pausades.
Den senare Bonzo-rapporten höjde det bekräftade kapitalet som togs av den huvudsakliga angriparen till cirka 9,05 miljoner dollar. Bonzo Lend förblir pausad medan Bonzo Finance Labs och Bonzo Finance Foundation arbetar med partners för tillgångsåtervinning, reparationer och uttagsplaner för likviditetsleverantörer. Teamet har ännu inte satt något datum för att återöppna lånepoolen.
