تعرض بروتوكول الإقراض اللامركزي Bonzo Lend على شبكة Hedera (HBAR) لسرقة ما يقرب من 9.05 مليون دولار في وقت متأخر من مساء الجمعة بتوقيت شرق الولايات المتحدة، بعد أن استغل مهاجم ثغرة أمنية في مدقق أوراكل Supra تابع لجهة خارجية وقدم سعرًا مصطنعًا لرمز SAUCE، وفقًا لتقرير حادث مبدئي نشرته Bonzo.

أوقف البروتوكول Bonzo Lend مؤقتًا بعد الهجوم بوقت قصير. كما تم إيقاف برنامج النقاط الخاص به، بينما لم تتأثر خزائن Bonzo وجسرها ومنتجات التخزين (staking) الخاصة بها. صرحت Hedera على X أن الحادث اقتصر على مدقق أوراكل تابع لجهة خارجية ولم يتضمن عيبًا في البنية التحتية الأساسية للشبكة.

أودع المهاجم 250 رمز SAUCE، بقيمة بضعة دولارات، كضمان حوالي الساعة 8:40 مساءً بتوقيت شرق الولايات المتحدة يوم الجمعة، ثم قدم تحديثًا للسعر إلى عقد أوراكل Supra عند الطلب أبالغ في قيمة الرمز بمقدار حوالي 12 مرتبة حجمية، وفقًا للتقرير. كان SAUCE يتداول بسعر يقارب 0.2 HBAR في ذلك الوقت؛ وحمل التحديث المتلاعب به رقم 1 متبوعًا بـ 30 صفرًا.

في غضون ثوانٍ من وصول السعر المتلاعب به إلى السلسلة (on-chain) في الساعة 8:51 مساءً بتوقيت شرق الولايات المتحدة، اقترضت المحفظة حوالي 6.63 مليون USDC و34.5 مليون HBAR مغلف (wrapped HBAR) مقابل الإيداع الذي يكاد يكون بلا قيمة. قدرت Bonzo المبلغ المستخرج بحوالي 9.05 مليون دولار باستخدام سعر مرجعي لـ HBAR يبلغ حوالي 0.07 دولار.

حمل تحديث السعر المزيف توقيعًا تشفيريًا يتكون بالكامل من أصفار. كان يجب على مدقق Supra أن يرفضه فورًا، لكنه تعامل معه على أنه صالح بسبب عيب في طريقة فحص العقد للتوقيعات.

سمح ذلك للمهاجم بتقديم سعر دون موافقة الموقعين الشرعيين لـ Supra. ببساطة، لم يكسر المهاجم تشفير Supra أو يسرق مفتاح توقيع؛ بل وجدوا طريقة لجعل المدقق يقبل تحديثًا غير صالح بشكل واضح.

قالت Bonzo إن Supra أقرت بالمشكلة ونشرت إصلاحًا لعقد المدقق المتأثر على الشبكة الرئيسية لـ Hedera. كتب فريق Bonzo: "بسبب هذا الإصلاح، والقدرة الناتجة على فحص سلوك العقد، أصبحنا قادرين على وصف الآلية".

اقترضت محفظة ثانية حوالي مليون دولار بينما كان السعر الخاطئ نشطًا، ثم اتصلت بالفريق، وعرّفت نفسها على أنها مستجيب (هاكر) أخلاقي (white-hat) وقالت إنها تنوي إعادة الأموال. استبعدت Bonzo هذا المبلغ من الرقم الرئيسي الذي ذكرته، والذي كان سيصل إجماليه إلى حوالي 10.06 مليون دولار.

أشار المحقق على السلسلة Specter لأول مرة إلى تحركات أموال مشبوهة من Hedera إلى Ethereum قبل أن تؤكد Bonzo مصدر الاستغلال. أعاد تحديث أوراكل شرعي سعر SAUCE في الساعة 9:36 مساءً بتوقيت شرق الولايات المتحدة يوم الجمعة، وأوقفت Bonzo مجمع الإقراض الخاص بها بعد خمس دقائق.

يضيف هذا الحادث إلى عام حافل بعمليات استغلال العملات المشفرة، حيث خسرت المشاريع حوالي 972 مليون دولار عبر رقم قياسي بلغ 207 حوادث في النصف الأول من عام 2026، وفقًا لـ Immunefi. كما أنه يتناسب مع تحول أوسع نحو إخفاقات البنية التحتية، واختراقات المفاتيح الخاصة، ونقاط الضعف في الوصول المميز (privileged access) خارج العقود الأساسية للتطبيق المتأثر، وهي ديناميكية شوهدت في الاختراق المشتبه به لمفتاح Gravity Bridge واستغلال Kelp DAO للتحقق من الجسر.