Ang Bonzo Lend, isang lending protocol na nakabase sa Hedera, ay nawalan ng humigit-kumulang $9.05 milyon matapos manipulahin ng isang attacker ang presyo ng SAUCE na ginamit bilang collateral. Sinabi ng Bonzo Finance Labs na nagsimula ang insidente noong Hulyo 11, 2026, nang magsumite ang isang wallet ng maling presyo ng SAUCE sa isang third-party na Supra oracle contract. Nag-deposit ang attacker ng 250 SAUCE, na nagkakahalaga lamang ng ilang dolyar, bago itinuring ng feed ang mga token na lubhang mahalaga.
Walong segundo matapos makarating ang maling presyo sa network, humiram ang wallet ng 6.63 milyong USDC at higit sa 34.5 milyong wrapped HBAR. Inilarawan ng Bonzo ang kabuuang pagkalugi bilang “humigit-kumulang $9.05 milyon.” Pansamantalang pinahinto ng protocol ang Bonzo Lend sa 01:41 UTC at pinahinto ang Bonzo Points kalaunan sa umagang iyon. Ang Bonzo Vaults, Bonzo Bridge, at single-sided BONZO staking ay nagpatuloy sa pagpapatakbo.
Ang insident report ng Bonzo ay sumubaybay sa kaganapan sa proseso ng pagpapatunay ng pirma (signature verification) ng Supra. Ang update ay nagdala ng isang zeroed signature sa halip na isang valid signature mula sa oracle committee ng Supra. Sinabi ng Bonzo na nabigo ang verifier na tanggihan ang mga zero-value input bago ipadala ang mga ito sa pairing system contract ng Hedera.
Ang pairing check ay nagbalik ng true dahil ang parehong halaga ay kumakatawan sa mathematical identity point. Pagkatapos ay itinuring ng kontrata ng Supra ang resulta na iyon bilang patunay ng isang valid na pirma ng komite. Sinabi ng Bonzo na “walang valid na oracle signature ang naipalsipika” at ang totoong presyo sa merkado ng SAUCE ay hindi tumaas. Nag-deploy na ang Supra ng pag-aayos sa apektadong verifier contract sa Hedera mainnet, ayon sa ulat.
Sinabi ng Bonzo na binasa ng mga lending contract nito ang manipulahin na halaga mula sa aprubadong oracle feed at kinalkula ang borrowing power mula sa datos na iyon. Sinabi ng koponan na ang lending pool ay kumilos ayon sa disenyo nito matapos makatanggap ng maling input. Ibinukod ng ulat nito ang isang bug sa kontrata ng Bonzo, isang flash-loan attack, at normal na manipulasyon sa merkado.
Isang pangalawang account ang humiram ng humigit-kumulang $1 milyon habang aktibo pa rin ang abnormal na presyo. Kinalaunan, nakipag-ugnayan ang wallet na iyon sa koponan at inilarawan ang sarili bilang isang white-hat responder. Sinabi nito na balak nitong ibalik ang mga asset. Hindi isinama ng Bonzo ang halagang iyon sa kanilang $9.05 milyong pagkalugi dahil patuloy pa rin ang usapan sa pagbawi. Hindi pa nakumpirma ang pagbabalik sa nai-publish na ulat.
Bago ilabas ng Bonzo ang mga natuklasan nito, iniulat ng crypto.news na sinubaybayan ng mga security researcher ang higit sa $5.8 milyon na lumipat mula Hedera patungong Ethereum. Sinabi ng mga researcher na binridge ng wallet ang mga asset sa pamamagitan ng LayerZero at kinonvert ang bahagi ng mga holdings mula sa wrapped Bitcoin patungong Ether. Bumaba ang HBAR ng higit sa 2% habang nagpapatuloy ang mga transfer.
Ang dokumentasyon ng oracle ng Bonzo ay naglilista ng mga feed ng Supra para sa SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM, at HST laban sa wrapped HBAR. Ang insidente ay nakaapekto sa SAUCE pair. Sinabi ng Bonzo na ang lehitimong pag-publish ay nagpanumbalik ng presyo na iyon sa humigit-kumulang 0.1964 HBAR noong 01:36 UTC, limang minuto bago ang pagpapahinto ng lending pool.
Ang huling ulat ng Bonzo ay nagpataas ng kumpirmadong punong-puhunan na kinuha ng pangunahing attacker sa humigit-kumulang $9.05 milyon. Ibinahagi din ng isang Wu Blockchain post ang mga natuklasan ng protocol. Mananatiling naka-pause ang Bonzo Lend habang ang Bonzo Finance Labs at ang Bonzo Finance Foundation ay nakikipagtulungan sa mga kasosyo sa pagbawi ng asset, pag-aayos, at mga plano sa pag-withdraw para sa mga liquidity provider. Hindi pa nagtatakda ang koponan ng petsa para sa muling pagbubukas ng lending pool.
