Hedera上のBonzo Finance、オラクル脆弱性悪用で約900万ドル流出

Hederaネットワーク最大級のレンディングプロトコルであるBonzo Financeで、約900万ドル相当の資産が流出した。原因は、Supraが提供するオンチェーン・オラクル検証（verifier）の脆弱性。攻撃者はSAUCE担保の価格を不正に吊り上げ、実勢以上の借り入れを実行した。 攻撃は、Bonzo Financeが担保評価に用いているSupraの価格フィード検証レイヤーの欠陥を突いたものとされる。標的となったSAUCEは、Hederaの主要DEXであるSaucerSwapのガバナンス／ユーティリティトークン。攻撃者はオンチェーン上のSAUCE価格を操作し、担保価値を過大に見せかけたうえで、その評価額を根拠にBonzoのレンディングプールから他資産を合計約900万ドル分借り入れた。 Bonzo FinanceはAave v2アーキテクチャをHedera向けに最適化して構築され、HBAR、USDC、SAUCEなど複数資産をサポートする。ローンチ時には著名なブロックチェーン監査企業Halbornによるセキュリティ監査も受けていた。 価格フィードをめぐる問題は今回が初めてではない。Bonzoは2025年2月、不審なHBAR価格の動きを検知したとして市場を一時停止している。もともと同社は業界標準のオラクルであるChainlinkの採用を検討していたが、Hedera上でChainlinkのフィードが利用できず、2024年3月にSupraへ切り替えた経緯がある。単一障害点（single point of failure）を避けるため、Pythなど他のオラクル事業者との冗長化も検討していたと報じられている。 HederaのDeFiでは、Bonzo FinanceとSaucerSwapはいずれも中核的プロトコルに位置付けられる。主要レンディング基盤で約900万ドルの被害が発生したことは、市場の信認を押し上げる材料にはなりにくい。2025年2月の市場停止から今回の流出に至るまで、オラクル関連のトラブルが繰り返されている点は、偶発的な不運というより構造的課題を示唆している。