Bonzo Lend, un protocolo de préstamo descentralizado en Hedera (HBAR), sufrió un golpe de aproximadamente $9.05 millones el viernes por la noche ET después de que un atacante explotara una vulnerabilidad en un verificador de oráculo de terceros de Supra y enviara un precio artificial para el token SAUCE, según un informe preliminar del incidente publicado por Bonzo.

El protocolo pausó Bonzo Lend poco después del ataque. Su programa de puntos también fue detenido, mientras que las bóvedas, el puente y los productos de staking de Bonzo no se vieron afectados. Hedera declaró en X que el incidente se limitó a un verificador de oráculo de terceros y no implicó una falla en la infraestructura central de la red.

El atacante depositó 250 SAUCE, valorados en unos pocos dólares, como garantía alrededor de las 8:40 p.m. ET del viernes, y luego envió una actualización de precio al contrato de oráculo bajo demanda de Supra que exageraba el valor del token en aproximadamente 12 órdenes de magnitud, según el informe. SAUCE cotizaba cerca de 0.2 HBAR en ese momento; la actualización manipulada contenía una cifra de 1 seguido de 30 ceros.

A los pocos segundos de que el precio manipulado llegara a la cadena (on-chain) a las 8:51 p.m. ET, la billetera tomó prestados aproximadamente 6.63 millones de USDC y 34.5 millones de HBAR envueltos (wrapped HBAR) contra el depósito casi sin valor. Bonzo valoró el capital extraído en aproximadamente $9.05 millones utilizando un precio de referencia de HBAR de aproximadamente $0.07.

La actualización de precio falsa contenía una firma criptográfica compuesta enteramente de ceros. El verificador de Supra debería haberla rechazado inmediatamente, pero en su lugar la trató como válida debido a una falla en cómo el contrato verificaba las firmas.

Eso permitió al atacante enviar un precio sin la aprobación de los firmantes legítimos de Supra. En pocas palabras, el atacante no descifró la criptografía de Supra ni robó una clave de firma; más bien, encontró una manera de hacer que el verificador aceptara una actualización obviamente inválida.

Bonzo dijo que Supra reconoció el problema e implementó una solución para el contrato de verificador afectado en la mainnet de Hedera. "Es debido a esa solución, y a la capacidad resultante de inspeccionar el comportamiento del contrato, que podemos describir el mecanismo", escribió el equipo de Bonzo.

Una segunda billetera tomó prestados alrededor de $1 millón mientras el precio erróneo estaba activo, luego contactó al equipo, se identificó como un "white-hat" (hacker ético) y dijo que tenía la intención de devolver los fondos. Bonzo excluyó esa cantidad de su cifra principal, que de otro modo ascendería a aproximadamente $10.06 millones.

El investigador on-chain Specter alertó primero sobre movimientos de fondos sospechosos de Hedera a Ethereum antes de que Bonzo confirmara la fuente del exploit. Una actualización legítima del oráculo restauró el precio de SAUCE a las 9:36 p.m. ET del viernes, y Bonzo pausó su pool de préstamos cinco minutos después.

El incidente prolonga un año difícil para los exploits de criptomonedas, con proyectos perdiendo aproximadamente $972 millones en un récord de 207 incidentes en la primera mitad de 2026, según Immunefi. También encaja en un cambio más amplio hacia fallas de infraestructura, compromisos de claves privadas y debilidades de acceso privilegiado fuera de los contratos centrales de una aplicación afectada, una dinámica vista en el presunto compromiso de la clave de Gravity Bridge y el exploit de verificación del puente de Kelp DAO.