DeFi на базе Hedera «Bonzo Lend» потерял 9 миллионов долларов из-за уязвимости оракула

Потеря 9 миллионов долларов из-за уязвимости оракула в Bonzo Lend

В протоколе кредитования «Bonzo Lend (Bonzo Finance)», работающем на сети Hedera (HBAR), 11 июля произошла несанкционированная утечка, использующая уязвимость в системе ценовых ссылок, что привело к ущербу примерно в 9 миллионов долларов (около 1,35 миллиарда иен).

На данный момент, похоже, что хакерская атака на сеть Hedera продолжается, и более 3,7 миллиона долларов уже были переведены на Ethereum. Украденные средства в настоящее время обмениваются с WBTC на ETH после того, как были переведены из сети Hedera через Layerzero.

В настоящее время протокол и программа лояльности приостановлены для обеспечения безопасности. Начало инцидента было связано с тем, что исследователь блокчейна Спектр отслеживал подозрительные перемещения средств на Ethereum. В ходе расследования выяснилось, что злоумышленник внес всего 250 токенов SAUCE (стоимостью несколько долларов) в качестве залога, а затем использовал уязвимость системы, чтобы увеличить его оценочную стоимость примерно на 12 порядков. На основе этой фиктивной стоимости активов он незаконно занял 6,63 миллиона USDC и 34,5 миллиона Wrapped HBAR (WHBAR) из пула.

Кроме того, другой кошелек, который в то же время вывел около 1 миллиона долларов (около 160 миллионов иен), назвал себя белым хакером и выразил намерение вернуть средства.

Причина не в смарт-контрактах, а в недостатках ценового оракула

Что касается данного инцидента, Bonzo заявила, что проблема не в их смарт-контрактах или основной сети Hedera, а в внешней системе поставки цен — оракуле.

В частности, у оракульного валидатора Supra (Супра), являющегося поставщиком данных, была серьезная уязвимость. Этот валидатор принял искаженные данные о цене SAUCE с нулевыми подписями, что аннулировало существующие действительные подписи. Это привело к тому, что манипулированные аномально высокие цены отразились в протоколе. Уже известно, что Supra осведомлена о проблеме и применила исправления.

Усложнение манипуляций с ценами и продолжающиеся испытания на рынке DeFi в 2026 году

Как показал данный случай, даже если сеть или приложение функционируют нормально, манипуляции с ценовыми данными для извлечения ликвидности происходили и в прошлом.

В феврале этого года (2026) Stellar-базированный «YieldBlox DAO» потерял около 10 миллионов долларов (около 1,6 миллиарда иен) из-за аналогичных манипуляций с ценами.

Кроме того, с начала 2026 года наблюдается резкий рост киберпреступлений, нацеленных на криптовалютные платформы. В июле произошло нападение на «Summer.fi» на сумму 6 миллионов долларов (около 970 миллионов иен) и атака на «BONK DAO» на сумму 20 миллионов долларов (около 3,23 миллиарда иен), что в общей сложности уже превысило 28 миллионов долларов (около 4,5 миллиарда иен). По данным аналитических компаний, во втором квартале 2026 года было зафиксировано рекордное количество инцидентов — 83 случая (ущерб около 1,2228 триллиона иен). Проблемы с захватом прав администратора и манипуляциями с ценами составляют 37% от общего числа инцидентов.

Эти повторяющиеся нарушения безопасности вызывают недоверие у пользователей, и общая сумма активов DeFi (TVL), которая в начале года составляла около 1150 миллиардов долларов (около 18,6 триллиона иен), к июню снизилась до более чем 700 миллиардов долларов (около 11,3 триллиона иен), что составляет снижение примерно на 39%.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.