Bonzo Lend, một giao thức cho vay phi tập trung trên Hedera (HBAR), đã bị tấn công và thiệt hại khoảng 9,05 triệu USD vào cuối ngày thứ Sáu ET, sau khi một kẻ tấn công khai thác lỗ hổng trong bộ xác minh oracle Supra của bên thứ ba và gửi một mức giá giả mạo cho token SAUCE, theo báo cáo sự cố sơ bộ được Bonzo công bố.

Giao thức đã tạm dừng Bonzo Lend ngay sau cuộc tấn công. Chương trình điểm của nó cũng bị tạm dừng, trong khi các sản phẩm vault, bridge và staking của Bonzo không bị ảnh hưởng. Hedera cho biết trên X rằng sự cố này chỉ giới hạn ở một bộ xác minh oracle của bên thứ ba và không liên quan đến lỗi trong cơ sở hạ tầng cốt lõi của mạng.

Kẻ tấn công đã gửi 250 SAUCE, trị giá vài đô la, làm tài sản thế chấp vào khoảng 8:40 tối ET thứ Sáu, sau đó gửi một bản cập nhật giá đến hợp đồng oracle theo yêu cầu của Supra, thổi phồng giá trị của token lên khoảng 12 bậc độ lớn, theo báo cáo. SAUCE đang giao dịch gần 0,2 HBAR vào thời điểm đó; bản cập nhật bị thao túng mang một con số 1 kèm theo 30 số 0.

Trong vòng vài giây sau khi giá bị thao túng được đưa lên chuỗi vào 8:51 tối ET, ví đã vay khoảng 6,63 triệu USDC và 34,5 triệu HBAR được bọc chống lại khoản tiền gửi gần như vô giá trị. Bonzo ước tính số tiền gốc bị rút ra là khoảng 9,05 triệu USD, sử dụng giá tham chiếu HBAR khoảng 0,07 USD.

Bản cập nhật giá giả mạo mang một chữ ký mật mã hoàn toàn bằng số 0. Bộ xác minh của Supra lẽ ra phải từ chối nó ngay lập tức, nhưng thay vào đó lại coi nó là hợp lệ do một lỗi trong cách hợp đồng kiểm tra chữ ký.

Điều đó cho phép kẻ tấn công gửi một mức giá mà không cần sự chấp thuận từ những người ký hợp lệ của Supra. Nói một cách đơn giản, kẻ tấn công không bẻ khóa mật mã của Supra hoặc đánh cắp khóa ký; thay vào đó, chúng tìm ra cách để khiến bộ xác minh chấp nhận một bản cập nhật rõ ràng là không hợp lệ.

Bonzo cho biết Supra đã thừa nhận vấn đề và triển khai bản sửa lỗi cho hợp đồng xác minh bị ảnh hưởng trên mạng chính Hedera. Nhóm Bonzo viết: "Chính nhờ bản sửa lỗi đó và khả năng kiểm tra hành vi của hợp đồng mà chúng tôi có thể mô tả cơ chế này."

Một ví thứ hai đã vay khoảng 1 triệu USD trong khi giá sai đang hoạt động, sau đó liên hệ với nhóm, tự nhận là người phản ứng mũ trắng và nói rằng họ có ý định trả lại số tiền. Bonzo đã loại trừ số tiền đó khỏi con số tiêu đề của mình, nếu không thì tổng thiệt hại sẽ là khoảng 10,06 triệu USD.

Nhà điều tra on-chain Specter lần đầu tiên phát hiện các giao dịch tiền đáng ngờ từ Hedera sang Ethereum trước khi Bonzo xác nhận nguồn gốc của vụ khai thác. Bản cập nhật oracle hợp lệ đã khôi phục giá của SAUCE vào 9:36 tối ET thứ Sáu, và Bonzo đã tạm dừng nhóm cho vay của mình năm phút sau đó.

Sự cố này nối dài một năm đầy khó khăn đối với các vụ khai thác tiền điện tử, với các dự án mất khoảng 972 triệu USD qua kỷ lục 207 sự cố trong nửa đầu năm 2026, theo Immunefi. Nó cũng phù hợp với một xu hướng rộng lớn hơn hướng tới các lỗi cơ sở hạ tầng, sự xâm phạm khóa riêng tư và các điểm yếu về quyền truy cập đặc quyền bên ngoài các hợp đồng cốt lõi của ứng dụng bị ảnh hưởng, một động thái được thấy trong vụ xâm phạm khóa Gravity Bridge bị nghi ngờ và vụ khai thác xác minh cầu nối của Kelp DAO.