O protocolo de empréstimo baseado em Hedera Bonzo Lend perdeu cerca de US$ 9,05 milhões depois que um invasor manipulou o preço do SAUCE usado como garantia. A Bonzo Finance Labs informou que o incidente começou em 11 de julho de 2026, quando uma carteira submeteu um preço falso de SAUCE a um contrato oracle Supra de terceiros. O invasor depositou 250 SAUCE, valendo apenas alguns dólares, antes que o feed tratasse os tokens como de alto valor.
Oito segundos depois que o preço falso alcançou a rede, a carteira tomou emprestados 6,63 milhões de USDC e mais de 34,5 milhões de HBAR wrapped. A Bonzo descreveu a perda principal como “aproximadamente US$ 9,05 milhões”. O protocolo pausou o Bonzo Lend às 01:41 UTC e encerrou o Bonzo Points mais tarde naquela manhã. Bonzo Vaults, Bonzo Bridge e o staking unilateral de BONZO continuaram a operar.
O relatório de incidente da Bonzo rastreou o evento até o processo de verificação de assinatura da Supra. A atualização continha uma assinatura zerada em vez de uma assinatura válida do comitê oracle da Supra. A Bonzo disse que o verificador não conseguiu rejeitar entradas de valor zero antes de enviá-las para o contrato de sistema de emparelhamento da Hedera.
A verificação de emparelhamento retornou 'verdadeiro' porque ambos os valores representavam o ponto de identidade matemática. O contrato da Supra então tratou esse resultado como prova de uma assinatura de comitê válida. A Bonzo disse que “nenhuma assinatura oracle válida foi forjada” e que o preço de mercado real do SAUCE não subiu. A Supra desde então implementou uma correção para o contrato verificador afetado na mainnet da Hedera, de acordo com o relatório.
A Bonzo disse que seus contratos de empréstimo leram o valor manipulado do feed oracle aprovado e calcularam o poder de empréstimo a partir desses dados. A equipe afirmou que o pool de empréstimos funcionou conforme o projetado após receber a entrada falsa. Seu relatório descartou um bug de contrato da Bonzo, um ataque de flash loan e a manipulação normal de mercado.
Uma segunda conta tomou emprestado cerca de US$ 1 milhão enquanto o preço anormal permaneceu ativo. Essa carteira posteriormente contatou a equipe e se descreveu como um respondedor 'white-hat'. Ela disse que planejava devolver os ativos. A Bonzo excluiu esse valor de sua cifra de perda de US$ 9,05 milhões porque as negociações de recuperação permanecem ativas. O relatório publicado não havia confirmado o retorno.
Antes da Bonzo divulgar suas descobertas, o Crypto.news relatou que pesquisadores de segurança rastrearam mais de US$ 5,8 milhões se movendo de Hedera para Ethereum. Os pesquisadores disseram que a carteira transferiu ativos via LayerZero e converteu parte dos valores de wrapped Bitcoin para Ether. O HBAR caiu mais de 2% enquanto as transferências continuavam.
A documentação oracle da Bonzo lista feeds da Supra para SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM e HST contra HBAR wrapped. O incidente afetou o par SAUCE. A Bonzo disse que uma publicação legítima restaurou esse preço para cerca de 0,1964 HBAR às 01:36 UTC, cinco minutos antes da pausa do pool de empréstimos.
O relatório posterior da Bonzo elevou o valor principal confirmado tomado pelo atacante principal para cerca de US$ 9,05 milhões. Uma publicação da Wu Blockchain também compartilhou as descobertas do protocolo. O Bonzo Lend permanece pausado enquanto a Bonzo Finance Labs e a Bonzo Finance Foundation trabalham com parceiros na recuperação de ativos, reparos e planos de saque para provedores de liquidez. A equipe não definiu uma data para reabrir o pool de empréstimos.
SAUCE
USDC
