Le protocole de prêt Bonzo Lend, basé sur Hedera, a perdu environ 9,05 millions de dollars après qu'un attaquant a manipulé le prix du SAUCE utilisé comme garantie. Bonzo Finance Labs a déclaré que l'incident a commencé le 11 juillet 2026, lorsqu'un portefeuille a soumis un faux prix du SAUCE à un contrat oracle tiers de Supra. L'attaquant a déposé 250 SAUCE, d'une valeur de quelques dollars seulement, avant que le flux ne considère les jetons comme très précieux.
Huit secondes après que le faux prix a atteint le réseau, le portefeuille a emprunté 6,63 millions d'USDC et plus de 34,5 millions de HBAR enveloppés. Bonzo a décrit la perte principale comme étant « environ 9,05 millions de dollars ». Le protocole a mis Bonzo Lend en pause à 01h41 UTC et a arrêté Bonzo Points plus tard dans la matinée. Bonzo Vaults, Bonzo Bridge et le staking unilatéral de BONZO ont continué à fonctionner.
Le rapport d'incident de Bonzo a retracé l'événement au processus de vérification de signature de Supra. La mise à jour comportait une signature nulle au lieu d'une signature valide du comité oracle de Supra. Bonzo a déclaré que le vérificateur n'avait pas réussi à rejeter les entrées de valeur nulle avant de les envoyer au contrat de système d'appairage d'Hedera.
La vérification d'appairage a renvoyé vrai car les deux valeurs représentaient le point d'identité mathématique. Le contrat de Supra a alors traité ce résultat comme une preuve d'une signature de comité valide. Bonzo a déclaré qu'« aucune signature d'oracle valide n'avait été forgée » et que le prix réel du marché du SAUCE n'avait pas augmenté. Supra a depuis déployé un correctif pour le contrat de vérificateur affecté sur le mainnet d'Hedera, selon le rapport.
Bonzo a déclaré que ses contrats de prêt ont lu la valeur manipulée du flux oracle approuvé et ont calculé le pouvoir d'emprunt à partir de ces données. L'équipe a déclaré que le pool de prêt a agi comme prévu après avoir reçu la fausse entrée. Son rapport a exclu un bug du contrat Bonzo, une attaque par prêt éclair et une manipulation de marché normale.
Un deuxième compte a emprunté environ 1 million de dollars tant que le prix anormal est resté actif. Ce portefeuille a ensuite contacté l'équipe et s'est décrit comme un intervenant « white-hat ». Il a déclaré qu'il prévoyait de restituer les actifs. Bonzo a exclu ce montant de son chiffre de perte de 9,05 millions de dollars car les discussions de récupération sont toujours actives. Le rapport publié n'avait pas confirmé le retour.
Avant que Bonzo ne publie ses conclusions, crypto.news a rapporté que des chercheurs en sécurité avaient suivi plus de 5,8 millions de dollars se déplaçant d'Hedera vers Ethereum. Les chercheurs ont déclaré que le portefeuille avait ponté les actifs via LayerZero et converti une partie des avoirs du Bitcoin enveloppé en Ether. Le HBAR a chuté de plus de 2 % à mesure que les transferts se poursuivaient.
La documentation oracle de Bonzo répertorie les flux Supra pour SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM et HST par rapport au HBAR enveloppé. L'incident a affecté la paire SAUCE. Bonzo a déclaré qu'une publication légitime avait restauré ce prix à environ 0,1964 HBAR à 01h36 UTC, cinq minutes avant la pause du pool de prêt.
Le rapport ultérieur de Bonzo a porté le principal confirmé pris par l'attaquant principal à environ 9,05 millions de dollars. Un article de Wu Blockchain a également partagé les conclusions du protocole. Bonzo Lend reste en pause pendant que Bonzo Finance Labs et la Bonzo Finance Foundation travaillent avec des partenaires sur la récupération des actifs, les réparations et les plans de retrait pour les fournisseurs de liquidité. L'équipe n'a pas fixé de date pour la réouverture du pool de prêt.
