Bonzo Lend, un protocole de prêt décentralisé sur Hedera (HBAR), a été victime d'un vol d'environ 9,05 millions de dollars vendredi soir (heure de l'Est) après qu'un attaquant a exploité une vulnérabilité dans un vérificateur d'oracle tiers Supra et soumis un prix artificiel pour le jeton SAUCE, selon un rapport d'incident préliminaire publié par Bonzo.

Le protocole a mis Bonzo Lend en pause peu après l'attaque. Son programme de points a également été interrompu, tandis que les coffres, le pont et les produits de staking de Bonzo n'ont pas été affectés. Hedera a déclaré sur X que l'incident était limité à un vérificateur d'oracle tiers et n'impliquait pas de faille dans l'infrastructure centrale du réseau.

L'attaquant a déposé 250 SAUCE, d'une valeur de quelques dollars, comme garantie vers 20h40 ET vendredi, puis a soumis une mise à jour de prix au contrat d'oracle à la demande de Supra qui a surestimé la valeur du jeton d'environ 12 ordres de grandeur, selon le rapport. SAUCE se négociait près de 0,2 HBAR à ce moment-là ; la mise à jour manipulée contenait un chiffre de 1 suivi de 30 zéros.

Quelques secondes après que le prix manipulé a atterri sur la chaîne à 20h51 ET, le portefeuille a emprunté environ 6,63 millions d'USDC et 34,5 millions de HBAR wrappés contre le dépôt quasi-sans valeur. Bonzo a estimé le montant principal extrait à environ 9,05 millions de dollars en utilisant un prix de référence HBAR d'environ 0,07 $.

La fausse mise à jour de prix contenait une signature cryptographique entièrement composée de zéros. Le vérificateur de Supra aurait dû la rejeter immédiatement, mais l'a plutôt traitée comme valide en raison d'une faille dans la manière dont le contrat vérifiait les signatures.

Cela a permis à l'attaquant de soumettre un prix sans l'approbation des signataires légitimes de Supra. En termes simples, l'attaquant n'a pas cassé la cryptographie de Supra ni volé de clé de signature ; il a plutôt trouvé un moyen de faire accepter au vérificateur une mise à jour manifestement invalide.

Bonzo a déclaré que Supra avait reconnu le problème et déployé un correctif pour le contrat de vérificateur affecté sur le mainnet d'Hedera. « C'est grâce à ce correctif, et à la capacité qui en a découlé d'inspecter le comportement du contrat, que nous sommes en mesure de décrire le mécanisme », a écrit l'équipe Bonzo.

Un second portefeuille a emprunté environ 1 million de dollars pendant que le mauvais prix était actif, puis a contacté l'équipe, s'est identifié comme un intervenant « white-hat » et a déclaré qu'il avait l'intention de restituer les fonds. Bonzo a exclu ce montant de son chiffre principal, qui s'élèverait autrement à environ 10,06 millions de dollars.

L'enquêteur on-chain Specter a d'abord signalé des mouvements de fonds suspects de Hedera vers Ethereum avant que Bonzo ne confirme la source de l'exploit. Une mise à jour d'oracle légitime a restauré le prix du SAUCE à 21h36 ET vendredi, et Bonzo a mis en pause son pool de prêt cinq minutes plus tard.

L'incident s'ajoute à une année difficile pour les exploits crypto, avec des projets perdant environ 972 millions de dollars sur un record de 207 incidents au premier semestre 2026, selon Immunefi. Il s'inscrit également dans une tendance plus large vers les défaillances d'infrastructure, les compromissions de clés privées et les faiblesses d'accès privilégié en dehors des contrats centraux d'une application affectée, une dynamique observée dans la compromission présumée de la clé de Gravity Bridge et l'exploit de vérification de pont de Kelp DAO.