Протокол кредитування Bonzo Lend на базі Hedera втратив близько 9,05 мільйона доларів після того, як зловмисник маніпулював ціною SAUCE, що використовується як застава. Bonzo Finance Labs повідомила, що інцидент розпочався 11 липня 2026 року, коли гаманець надіслав неправдиву ціну SAUCE до стороннього оракул-контракту Supra. Зловмисник вніс 250 SAUCE, вартістю лише кілька доларів, перш ніж потік даних почав трактувати ці токени як високоцінні.
Через вісім секунд після того, як неправдива ціна досягла мережі, гаманець позичив 6,63 мільйона USDC та понад 34,5 мільйона обгорнутих HBAR. Bonzo описав основний збиток як "приблизно 9,05 мільйона доларів". Протокол призупинив роботу Bonzo Lend о 01:41 UTC і зупинив Bonzo Points пізніше того ж ранку. Bonzo Vaults, Bonzo Bridge та односторонній стейкінг BONZO продовжували працювати.
Звіт Bonzo про інцидент відстежив подію до процесу верифікації підписів Supra. Оновлення містило обнулений підпис замість дійсного підпису від комітету оракула Supra. Bonzo заявив, що верифікатор не відхилив нульові вхідні дані перед їх відправкою до системного контракту сполучення Hedera.
Перевірка сполучення повернула "істина", оскільки обидва значення представляли математичну точку тотожності. Тоді контракт Supra трактував цей результат як доказ дійсного підпису комітету. Bonzo заявив, що "дійсний підпис оракула не був сфальсифікований", і реальна ринкова ціна SAUCE не зросла. Згідно зі звітом, Supra з того часу розгорнула виправлення для ураженого верифікатор-контракту в основній мережі Hedera.
Bonzo заявив, що його контракти кредитування зчитували маніпульоване значення з затвердженого потоку даних оракула та розраховували позикову спроможність на основі цих даних. Команда заявила, що кредитний пул діяв, як було задумано, після отримання хибного входу. У його звіті було виключено помилку в контракті Bonzo, атаку з використанням флеш-кредиту та звичайну ринкову маніпуляцію.
Другий обліковий запис позичив близько 1 мільйона доларів, поки аномальна ціна залишалася активною. Цей гаманець пізніше зв'язався з командою і назвав себе "білим хакером". Він заявив, що планує повернути активи. Bonzo виключив цю суму зі свого показника збитків у 9,05 мільйона доларів, оскільки переговори про повернення все ще тривають. Опублікований звіт не підтвердив повернення.
До того, як Bonzo оприлюднив свої висновки, crypto.news повідомив, що дослідники безпеки відстежили переміщення понад 5,8 мільйона доларів з Hedera до Ethereum. Дослідники заявили, що гаманець перевів активи через міст LayerZero та конвертував частину активів з обгорнутого Bitcoin в Ether. HBAR впав більш ніж на 2% під час продовження переказів.
Документація оракула Bonzo перераховує потоки даних Supra для SAUCE, HBARX, XSAUCE, DOVU, PACK, KARATE, STEAM та HST проти обгорнутого HBAR. Інцидент вплинув на пару SAUCE. Bonzo заявив, що законна публікація відновила цю ціну до близько 0,1964 HBAR о 01:36 UTC, за п'ять хвилин до призупинення роботи кредитного пулу.
Пізніший звіт Bonzo підвищив підтверджену основну суму, взяту головним зловмисником, до близько 9,05 мільйона доларів. Публікація Wu Blockchain також поділилася висновками протоколу. Bonzo Lend залишається призупиненим, поки Bonzo Finance Labs та Bonzo Finance Foundation працюють з партнерами над поверненням активів, виправленнями та планами виведення коштів для постачальників ліквідності. Команда не встановила дату повторного відкриття кредитного пулу.
