Hedera上のBonzo Finance、約900万ドルのオラクル悪用でTVLが77%急減

Hederaネットワーク上のレンディングプロトコル「Bonzo Finance」で、第三者オラクル契約の検証不備を突いた攻撃が発生し、約905万ドルが流出した。CoinDeskが報じた。これを受け、同プロトコルの預かり資産総額（TVL）は77%下落した。 問題はBonzo自身のスマートコントラクトではなく、「Supra」のオラクル統合部分にあった点が重要だ。プロトコルは内部コードを監査していても、外部インフラへの依存が増えるほど攻撃対象領域は広がる。今回もオラクル側の検証ルーチンの欠陥が引き金となり、流動性の大半が短時間で引き出されたとされる。 公開情報によると、攻撃者は価格オラクルのロジックを操作し、水増しした担保評価を前提に資産を借り入れた。Supraのコントラクトが入力データを適切に検証できなかったため、偽の価格情報が通り、Bonzoのレンディングロジックがそれを信頼してしまった。ローン・トゥ・バリュー（LTV）の算定が崩れたことで、プロトコルの健全性は一気に失われた格好だ。 オラクル悪用はDeFiでは繰り返し起きてきた。ただ、Hederaにとって痛手が大きいのは、Bonzoが同ネットワーク上で有数のレンディング市場に成長していたためだ。TVLの77%減は、数百万ドル規模の流動性流出とポジションの滞留、そしてエコシステムの耐障害性に対する信認低下を意味する。 Hederaは高いスループットと低く固定された手数料を武器にDeFiの拡大を進めてきたが、EthereumやBNB Chainと比べれば市場規模は小さい。開発者活動の上位ではEthereum、BNB Chain、Polygonが先行する一方、Hederaのようなネットワークは失敗許容度が薄い。目立つハッキングが1件起きるだけで、数カ月分のユーザー獲得が振り出しに戻る可能性がある。 慎重にHederaのDeFiに資金を投じていた機関投資家や流動性提供者にとっても、今回のBonzoの事案は新たなリスク・プレミアムを意識させる出来事となった。レンディングプロトコルが限られたオラクル提供者に依存していないか、検証が迫られる。Supraの関与は、許可型・準許可型台帳におけるオラクルの選定と監督の在り方にも注目を集めそうだ。 Bonzo利用者の回復見通しは不透明だ。過去には交渉やホワイトハット報奨金を通じて資金が一部返還された例もあるが、現時点で具体的な道筋は示されていない。運営チームは補償の可否を含めた対応策の検討と、オラクル統合の再設計を迫られる。 今回の一件が示すのは、オフチェーンのデータとオンチェーン実行の隙間を突くオラクル操作が、依然としてDeFiの主要な攻撃ベクトルであるという現実だ。複数ソースの採用、時間加重平均価格（TWAP）、サーキットブレーカーといった対策はあるものの、複雑性とコストが増す。小規模プロトコルは簡便さと引き換えに安全性を犠牲にしがちで、小規模チェーンでは堅牢な代替インフラも整いにくい。 Hederaコミュニティにとって今後数週間は、流動性が戻るのか、別のチェーンへ移るのかを占う局面となる。DeFiが新しいチェーンへ広がっても、古典的な脆弱性は付いて回る。オラクルの安全性を最初から最優先事項として設計しない限り、流動性プールが数分で空になる事例は今後も起こり得る。