Bonzo Finance потерял $9 млн из-за уязвимости оракула в сети Hedera

Крупнейший на Hedera лендинговый протокол Bonzo Finance лишился около $9 млн. Причиной стала уязвимость в onchain-верификаторе оракула Supra: она позволила злоумышленнику завысить цену залога в токене SAUCE и занять значительно больше средств, чем обеспечивала реальная стоимость токенов. Как проходила атака Вектором стала ошибка на уровне проверки данных оракула, который Bonzo использует для оценки обеспечения. Манипулируя onchain-ценой SAUCE — governance- и utility-токена SaucerSwap (крупнейшей DEX в экосистеме Hedera) — атакующий создал видимость существенно более дорогого залога. После этого, опираясь на искусственно завышенную оценку SAUCE, он вывел из кредитных пулов Bonzo активы на сумму примерно $9 млн. Bonzo Finance построен на архитектуре Aave v2, адаптированной под Hedera. Протокол поддерживает ряд активов, включая HBAR, USDC и SAUCE. На старте проект проходил аудит у Halborn — известной компании в области блокчейн-безопасности. Проблема с оракулами, которая возвращается Для Bonzo это не первый эпизод, связанный с ценовыми фидами. В феврале 2025 года протокол временно приостанавливал рынки после выявления подозрительной активности в котировках HBAR. Изначально команда планировала использовать Chainlink как наиболее распространенного поставщика оракулов, но фиды Chainlink для Hedera были недоступны. В результате в марте 2024 года Bonzo перешел на оракул Supra. Сообщалось, что проект рассматривал резервирование с другими провайдерами, включая Pyth, чтобы снизить риск единой точки отказа. Что это значит для DeFi на Hedera Bonzo Finance и SaucerSwap относятся к ключевым протоколам DeFi-экосистемы Hedera. Эксплойт на $9 млн в основном лендинговом приложении сети вряд ли добавит рынку уверенности. Повторяющиеся инциденты, связанные с оракулами — от паузы рынков в феврале 2025 года до нынешней атаки на $9 млн — указывают скорее на системную проблему, чем на разовую неудачу.