Bonzo Lend su Hedera perde 9 milioni di dollari in un exploit oracle

L'11 luglio 2026, Bonzo Lend, un protocollo di prestito operante sulla mainnet di Hedera, ha subito un exploit oracle che ha causato una perdita stimata di 9 milioni di dollari. L'evento è iniziato alle 00:51 UTC quando il Wallet A ha fornito un aggiornamento di prezzo falsificato per la coppia di trading SAUCE/wHBAR a un sistema oracle di terze parti. Questo prezzo gonfiato ha permesso al Wallet A di utilizzare una quantità minima di SAUCE come garanzia mentre prendeva in prestito asset di valore molto superiore. Una vulnerabilità nella verifica delle firme dell'oracle ha permesso l'accettazione di una firma azzerata, poiché il controllo di pairing BLS restituiva true con sia il punto della firma che la chiave pubblica impostati a zero. I contratti core di Bonzo Lend hanno funzionato correttamente, consentendo al Wallet A di prendere in prestito 6.634.528,202695 USDC e 34.518.389,36109841 wHBAR contro 250 SAUCE. Il protocollo è stato messo in pausa alle 01:41 UTC, seguito da un arresto dei Bonzo Points alle 05:50 UTC. Un secondo wallet, Wallet B, ha anche preso in prestito fondi aggiuntivi, portando le potenziali perdite a 10,06 milioni di dollari; tuttavia, Wallet B ha contattato il team come white-hat hacker e si è impegnato a restituire gli asset. Hedera ha confermato che la mainnet è rimasta sicura, mentre Supra ha riconosciuto l'incidente e implementato una correzione. Bonzo sta collaborando con la Bonzo Finance Foundation per recuperare i fondi e valutare le condizioni necessarie per una riapertura sicura del protocollo.