Giao thức cho vay Bonzo Lend dựa trên Hedera đã mất khoảng 9,05 triệu USD sau khi một kẻ tấn công thao túng giá của SAUCE được sử dụng làm tài sản thế chấp. Bonzo Finance Labs cho biết sự cố bắt đầu vào ngày 11 tháng 7 năm 2026, khi một ví gửi giá SAUCE giả mạo đến hợp đồng oracle Supra của bên thứ ba. Kẻ tấn công đã gửi 250 SAUCE, trị giá chỉ vài đô la, trước khi nguồn cấp dữ liệu coi các token này có giá trị cao.
Tám giây sau khi giá giả mạo đến mạng, ví đã vay 6,63 triệu USDC và hơn 34,5 triệu HBAR được bọc. Bonzo mô tả khoản lỗ chính là “khoảng 9,05 triệu USD.” Giao thức đã tạm dừng Bonzo Lend vào lúc 01:41 UTC và ngừng Bonzo Points vào sáng cùng ngày. Bonzo Vaults, Bonzo Bridge và staking BONZO một phía vẫn tiếp tục hoạt động.
Báo cáo sự cố của Bonzo đã truy vết sự kiện này đến quy trình xác minh chữ ký của Supra. Bản cập nhật mang một chữ ký bằng không thay vì một chữ ký hợp lệ từ ủy ban oracle của Supra. Bonzo cho biết trình xác minh đã không từ chối các đầu vào giá trị bằng không trước khi gửi chúng đến hợp đồng hệ thống ghép nối của Hedera.
Kiểm tra ghép nối đã trả về true vì cả hai giá trị đều đại diện cho điểm đồng nhất toán học. Hợp đồng của Supra sau đó đã coi kết quả đó là bằng chứng về một chữ ký ủy ban hợp lệ. Bonzo cho biết “không có chữ ký oracle hợp lệ nào bị giả mạo” và giá thị trường thực của SAUCE không tăng. Theo báo cáo, Supra kể từ đó đã triển khai bản sửa lỗi cho hợp đồng xác minh bị ảnh hưởng trên mạng chính Hedera.
Bonzo cho biết các hợp đồng cho vay của họ đã đọc giá trị bị thao túng từ nguồn cấp dữ liệu oracle đã được phê duyệt và tính toán khả năng vay từ dữ liệu đó. Nhóm cho biết nhóm cho vay đã hoạt động đúng như thiết kế sau khi nhận được đầu vào sai. Báo cáo của họ đã loại trừ lỗi hợp đồng của Bonzo, tấn công flash-loan và thao túng thị trường thông thường.
Một tài khoản thứ hai đã vay khoảng 1 triệu USD trong khi giá bất thường vẫn còn hoạt động. Ví đó sau đó đã liên hệ với nhóm và tự mô tả là một người phản ứng white-hat. Nó cho biết họ dự định trả lại tài sản. Bonzo đã loại trừ số tiền đó khỏi con số thiệt hại 9,05 triệu USD vì các cuộc đàm phán phục hồi vẫn đang diễn ra. Báo cáo đã công bố chưa xác nhận việc trả lại.
Trước khi Bonzo công bố phát hiện của mình, crypto.news đã báo cáo rằng các nhà nghiên cứu bảo mật đã theo dõi hơn 5,8 triệu USD di chuyển từ Hedera sang Ethereum. Các nhà nghiên cứu cho biết ví đã bắc cầu tài sản qua LayerZero và chuyển đổi một phần tài sản từ wrapped Bitcoin thành Ether. HBAR đã giảm hơn 2% khi các giao dịch chuyển tiền tiếp tục.
Tài liệu oracle của Bonzo liệt kê các nguồn cấp dữ liệu Supra cho SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM và HST so với wrapped HBAR. Sự cố đã ảnh hưởng đến cặp SAUCE. Bonzo cho biết việc công bố hợp lệ đã khôi phục giá đó về khoảng 0,1964 HBAR vào lúc 01:36 UTC, năm phút trước khi nhóm cho vay tạm dừng.
Báo cáo sau đó của Bonzo đã nâng số tiền gốc được xác nhận do kẻ tấn công chính lấy lên khoảng 9,05 triệu USD. Một bài đăng của Wu Blockchain cũng chia sẻ các phát hiện của giao thức. Bonzo Lend vẫn bị tạm dừng trong khi Bonzo Finance Labs và Bonzo Finance Foundation làm việc với các đối tác về việc thu hồi tài sản, sửa chữa và kế hoạch rút tiền cho các nhà cung cấp thanh khoản. Nhóm chưa ấn định ngày mở lại nhóm cho vay.
