Bonzo Lend, un protocol de creditare descentralizat pe Hedera (HBAR), a fost lovit de un atac de aproximativ 9,05 milioane de dolari vineri seară (ET), după ce un atacator a exploatat o vulnerabilitate într-un verificator oracol terț Supra și a trimis un preț artificial pentru tokenul SAUCE, conform unui raport preliminar de incident publicat de Bonzo.

Protocolul a pus Bonzo Lend pe pauză la scurt timp după atac. Programul său de puncte a fost, de asemenea, oprit, în timp ce seifurile, bridge-ul și produsele de staking Bonzo nu au fost afectate. Hedera a declarat pe X că incidentul a fost limitat la un verificator oracol terț și nu a implicat o defecțiune în infrastructura de bază a rețelei.

Atacatorul a depus 250 SAUCE, în valoare de câțiva dolari, ca garanție vineri, în jurul orei 20:40 ET, apoi a trimis o actualizare de preț contractului oracol la cerere al Supra, care a supraestimat valoarea tokenului cu aproximativ 12 ordine de mărime, conform raportului. SAUCE se tranzacționa la aproximativ 0,2 HBAR la momentul respectiv; actualizarea manipulată conținea o cifră de 1 urmată de 30 de zerouri.

La câteva secunde după ce prețul manipulat a ajuns pe blockchain la 20:51 ET, portofelul a împrumutat aproximativ 6,63 milioane USDC și 34,5 milioane HBAR „wrapped” (încapsulat) împotriva depozitului aproape lipsit de valoare. Bonzo a evaluat principalul extras la aproximativ 9,05 milioane de dolari, folosind un preț de referință HBAR de aproximativ 0,07 dolari.

Actualizarea falsă a prețului a purtat o semnătură criptografică formată în întregime din zerouri. Verificatorul Supra ar fi trebuit să o respingă imediat, dar în schimb a tratat-o ca fiind validă din cauza unei defecțiuni în modul în care contractul verifica semnăturile.

Acest lucru a permis atacatorului să trimită un preț fără aprobarea semnatarilor legitimi ai Supra. Mai simplu spus, atacatorul nu a spart criptografia Supra sau nu a furat o cheie de semnare; mai degrabă, a găsit o modalitate de a face verificatorul să accepte o actualizare evident invalidă.

Bonzo a declarat că Supra a recunoscut problema și a implementat o remediere la contractul verificator afectat pe mainnet-ul Hedera. „Datorită acestei remedieri și a capacității rezultate de a inspecta comportamentul contractului, suntem capabili să descriem mecanismul,” a scris echipa Bonzo.

Un al doilea portofel a împrumutat aproximativ 1 milion de dolari în timp ce prețul greșit era activ, apoi a contactat echipa, s-a identificat ca fiind un "white-hat responder" și a declarat că intenționează să returneze fondurile. Bonzo a exclus această sumă din cifra sa principală, care altfel ar fi totalizat aproximativ 10,06 milioane de dolari.

Investigatorul on-chain Specter a semnalat pentru prima dată mișcări suspecte de fonduri de la Hedera la Ethereum înainte ca Bonzo să confirme sursa exploatării. O actualizare legitimă a oracolului a restabilit prețul SAUCE vineri la 21:36 ET, iar Bonzo și-a pus pe pauză pool-ul de creditare cinci minute mai târziu.

Incidentul prelungește un an greu pentru exploit-urile cripto, proiectele pierzând aproximativ 972 de milioane de dolari în cadrul unui record de 207 incidente în prima jumătate a anului 2026, conform Immunefi. De asemenea, se încadrează într-o tendință mai largă către eșecuri de infrastructură, compromisuri ale cheilor private și vulnerabilități de acces privilegiat în afara contractelor de bază ale unei aplicații afectate, o dinamică observată în compromiterea suspectată a cheii Gravity Bridge și exploit-ul de verificare a bridge-ului Kelp DAO.