Bonzo Lend, um protocolo de empréstimo descentralizado na Hedera (HBAR), foi atingido por cerca de US$ 9,05 milhões na noite de sexta-feira ET depois que um invasor explorou uma vulnerabilidade em um verificador de oráculo Supra de terceiros e enviou um preço artificial para o token SAUCE, de acordo com um relatório preliminar do incidente publicado pelo Bonzo.

O protocolo pausou o Bonzo Lend logo após o ataque. Seu programa de pontos também foi interrompido, enquanto os cofres, a ponte e os produtos de staking do Bonzo não foram afetados. A Hedera disse no X que o incidente estava confinado a um verificador de oráculo de terceiros e não envolveu uma falha na infraestrutura central da rede.

O invasor depositou 250 SAUCE, no valor de alguns dólares, como garantia por volta das 20h40 ET de sexta-feira, e então enviou uma atualização de preço para o contrato de oráculo sob demanda da Supra que superestimou o valor do token em aproximadamente 12 ordens de magnitude, de acordo com o relatório. O SAUCE estava sendo negociado perto de 0,2 HBAR na época; a atualização manipulada continha um número 1 seguido por 30 zeros.

Segundos após o preço manipulado ser registrado na blockchain às 20h51 ET, a carteira pegou emprestado aproximadamente 6,63 milhões de USDC e 34,5 milhões de HBAR empacotados contra o depósito quase sem valor. O Bonzo estimou o principal extraído em aproximadamente US$ 9,05 milhões usando um preço de referência HBAR de cerca de US$ 0,07.

A atualização falsa de preço continha uma assinatura criptográfica composta inteiramente por zeros. O verificador da Supra deveria tê-la rejeitado imediatamente, mas em vez disso a tratou como válida devido a uma falha na forma como o contrato verificava as assinaturas.

Isso permitiu que o invasor enviasse um preço sem a aprovação dos signatários legítimos da Supra. Simplificando, o invasor não quebrou a criptografia da Supra nem roubou uma chave de assinatura; em vez disso, eles encontraram uma maneira de fazer o verificador aceitar uma atualização obviamente inválida.

Bonzo disse que a Supra reconheceu o problema e implementou uma correção no contrato do verificador afetado na mainnet da Hedera. "É por causa dessa correção, e da capacidade resultante de inspecionar o comportamento do contrato, que somos capazes de descrever o mecanismo", escreveu a equipe Bonzo.

Uma segunda carteira pegou emprestado cerca de US$ 1 milhão enquanto o preço incorreto estava ativo, então contatou a equipe, identificou-se como um respondedor white-hat e disse que pretendia devolver os fundos. Bonzo excluiu esse valor de sua cifra principal, que de outra forma totalizaria aproximadamente US$ 10,06 milhões.

O investigador on-chain Specter sinalizou pela primeira vez movimentos suspeitos de fundos da Hedera para Ethereum antes que Bonzo confirmasse a origem do exploit. Uma atualização legítima do oráculo restaurou o preço do SAUCE às 21h36 ET de sexta-feira, e Bonzo pausou seu pool de empréstimos cinco minutos depois.

O incidente prolonga um ano difícil para exploits de cripto, com projetos perdendo aproximadamente US$ 972 milhões em um recorde de 207 incidentes no primeiro semestre de 2026, de acordo com a Immunefi. Ele também se encaixa em uma mudança mais ampla para falhas de infraestrutura, comprometimentos de chaves privadas e fraquezas de acesso privilegiado fora dos contratos centrais de um aplicativo afetado, uma dinâmica vista no suposto comprometimento da chave do Gravity Bridge e no exploit de verificação de ponte da Kelp DAO.