Bonzo Lend, децентралізований протокол кредитування на Hedera (HBAR), був атакований на приблизно 9,05 мільйона доларів пізно в п'ятницю за східним часом після того, як зловмисник використав вразливість у сторонньому верифікаторі оракула Supra та надав штучну ціну для токена SAUCE, згідно з попереднім звітом про інцидент, опублікованим Bonzo.

Протокол призупинив роботу Bonzo Lend незабаром після атаки. Його програма балів також була зупинена, тоді як сховища Bonzo, міст та продукти для стейкінгу не постраждали. Hedera повідомила на X, що інцидент обмежувався стороннім верифікатором оракула і не включав дефекту в основній інфраструктурі мережі.

Зловмисник депонував 250 SAUCE, вартістю кілька доларів, як забезпечення приблизно о 20:40 за східним часом у п'ятницю, потім надав оновлення ціни до контракту оракула Supra на вимогу, яке завищило вартість токена приблизно на 12 порядків, згідно зі звітом. На той час SAUCE торгувався близько 0,2 HBAR; маніпульоване оновлення містило число 1 з 30 нулями.

Протягом секунд після того, як маніпульована ціна з'явилася в блокчейні о 20:51 за східним часом, гаманець позичив приблизно 6,63 мільйона USDC і 34,5 мільйона обгорнутих HBAR під майже нічого не вартий депозит. Bonzo оцінив вилучений основний капітал приблизно в 9,05 мільйона доларів, використовуючи референтну ціну HBAR близько 0,07 долара.

Підроблене оновлення ціни мало криптографічний підпис, що повністю складався з нулів. Верифікатор Supra мав би відхилити його негайно, але замість цього розцінив його як дійсний через ваду у тому, як контракт перевіряв підписи.

Це дозволило зловмиснику надати ціну без дозволу від легітимних підписувачів Supra. Простіше кажучи, зловмисник не зламав криптографію Supra і не вкрав ключ підпису; скоріше, він знайшов спосіб змусити верифікатор прийняти очевидно недійсне оновлення.

Bonzo повідомив, що Supra визнав проблему та впровадив виправлення до ураженого контракту верифікатора в основній мережі Hedera. "Саме завдяки цьому виправленню та можливості, що виникла внаслідок цього, перевірити поведінку контракту, ми можемо описати механізм", – написала команда Bonzo.

Другий гаманець позичив близько 1 мільйона доларів, поки діяла неправильна ціна, потім зв'язався з командою, ідентифікував себе як "білого хакера" (white-hat responder) і заявив, що має намір повернути кошти. Bonzo виключив цю суму зі своєї основної цифри, яка в іншому випадку становила б приблизно 10,06 мільйона доларів.

Ончейн-дослідник Specter вперше виявив підозрілі рухи коштів з Hedera до Ethereum, перш ніж Bonzo підтвердив джерело експлойту. Легітимне оновлення оракула відновило ціну SAUCE о 21:36 за східним часом у п'ятницю, і Bonzo призупинив свій пул кредитування п'ять хвилин потому.

Інцидент продовжує важкий рік для крипто-експлойтів: проєкти втратили приблизно 972 мільйони доларів у 207 рекордних інцидентах у першій половині 2026 року, згідно з Immunefi. Він також відображає ширшу тенденцію до збоїв інфраструктури, компрометації приватних ключів та слабких місць у привілейованому доступі за межами основних контрактів ураженої програми – динаміка, помічена в підозрілій компрометації ключа Gravity Bridge та експлойті перевірки мосту Kelp DAO.