Bonzo Finance bị khai thác oracle trên Hedera, thiệt hại 9 triệu USD

Bonzo Finance, giao thức cho vay lớn nhất trên mạng Hedera, vừa ghi nhận khoản thất thoát khoảng 9 triệu USD sau một vụ khai thác liên quan đến oracle. Theo thông tin ban đầu, lỗ hổng nằm ở lớp xác minh oracle on-chain của Supra, cho phép kẻ tấn công thổi phồng giá tài sản thế chấp SAUCE để vay vượt xa giá trị thực. Cơ chế tấn công tập trung vào tầng xác minh nguồn dữ liệu giá mà Bonzo sử dụng từ Supra. Bằng cách thao túng giá SAUCE trên chuỗi, kẻ tấn công khiến tài sản thế chấp trông có vẻ có giá trị cao hơn nhiều so với thực tế. SAUCE là token quản trị và tiện ích của SaucerSwap, sàn DEX lớn nhất trên Hedera. Khi định giá SAUCE bị đẩy lên, kẻ tấn công đã rút được khoảng 9 triệu USD tài sản khác từ các pool cho vay của Bonzo. Bonzo Finance được xây dựng dựa trên kiến trúc Aave v2 và điều chỉnh cho hệ sinh thái Hedera. Giao thức hỗ trợ nhiều tài sản, gồm HBAR, USDC và SAUCE. Dự án ra mắt với các đợt kiểm toán bảo mật từ Halborn, công ty an ninh blockchain được biết đến rộng rãi. Sự cố lần này diễn ra trong bối cảnh Bonzo từng gặp vấn đề liên quan đến nguồn giá. Tháng 2/2025, giao thức đã tạm dừng thị trường sau khi phát hiện hoạt động định giá HBAR bất thường. Trước đó, Bonzo muốn sử dụng Chainlink, nhà cung cấp oracle phổ biến nhất trong ngành, nhưng các feed của Chainlink chưa có trên Hedera. Vì vậy, đội ngũ chuyển sang dùng dịch vụ oracle của Supra vào tháng 3/2024. Bonzo cũng được cho là đang xem xét các phương án dự phòng với những nhà cung cấp khác như Pyth nhằm giảm rủi ro "điểm lỗi duy nhất". Bonzo Finance và SaucerSwap được xem là hai mảnh ghép quan trọng của hệ DeFi trên Hedera. Việc nền tảng cho vay chủ lực bị khai thác với quy mô 9 triệu USD có thể tác động tiêu cực đến niềm tin thị trường. Chuỗi sự cố liên quan đến oracle, từ lần tạm dừng tháng 2/2025 đến vụ việc hiện tại, cho thấy rủi ro mang tính hệ thống hơn là sự cố đơn lẻ.