Hederaエコシステム最大のレンディングプロトコルであるBonzo Lendは、第三者の価格オラクルにおける脆弱性を悪用されたことにより、約905万ドルの損失を被ったと発表した。この攻撃を受け、Bonzo LendおよびBonzo Pointsのサービスは一時的に停止された。
Bonzo Finance LabsがBonzo Finance Foundationと連携して公開したインシデントレポートによると、攻撃は2026年7月11日午前0時51分（UTC）（UTC+3午前3時51分）頃に発生した。攻撃者は、Bonzo Lendが使用するSupraオラクルシステムに操作されたSAUCE価格を送信することで、少額の担保で実際のSAUCE価値を大幅に上回る金額を借り入れることに成功した。
Bonzo社は、このセキュリティ脆弱性は自社のスマートコントラクトや融資プロトコルの設計に起因するものではないと主張した。同社は、問題はBonzo Lendが使用する第三者のオンチェーン価格オラクルの署名検証メカニズムにあると述べた。
報告書によると、攻撃者が最初に使用したアカウントは、Hederaメインネット上のオラクルのオンデマンド価格更新コントラクトに、操作されたSAUCEの価格（HBAR建て）を送信した。SAUCEの実際の市場価格は約0.2HBARであるが、攻撃者が送信した値は実際の価格よりも約12桁高い値として表示された。
操作された価格がオンチェーンに記録されてからわずか8秒後、攻撃者は少額のSAUCE投資を担保として使用しました。オラクルデータにより、プロトコルはこの担保の価値を非常に高く計算したため、攻撃者は預け入れた担保の実際の価値をはるかに超える資産を借り入れることに成功しました。
Bonzoのレビューによると、価格操作された更新が受け入れられたのは、Supraのオンチェーンバリデーターが有効な署名なしに証明を承認したためだという。チームは、攻撃者は有効なオラクル署名を偽造しておらず、SAUCEの実際の市場価格には変更がなかったと付け加えた。
プロトコルでは、誤った価格はBonzo Lendに到達する前にオラクルの検証レイヤーで拒否されるべきだったと規定されていたが、検証システムはそれを実行できなかった。
異常な価格データがアクティブだった期間中に、別のアカウントもプロトコルから追加の資産を借り入れていたことが明らかになった。Bonzo氏によると、このアカウントは後にチームに連絡を取り、自身をホワイトハットセキュリティ研究者と名乗り、資金を返還する意向を表明したという。この取引は、プロトコルによる復旧プロセスの一環として検討されている。
報道によると、今回の攻撃の影響を受けたのはBonzo LendとBonzo Pointsのサービスのみだった。Bonzo Vaults、Bonzo Bridge、およびBONZOとXBONZOの片方向ステーキング／アンステーキングサービスは正常に稼働を続けた。
Bonzo Lendの融資プールは、調査と復旧作業が継続されている間、一時停止されています。Bonzo Finance LabsとBonzo Finance Foundationは、プロトコルの再開条件と、流動性提供者が資産を引き出すプロセスについて検討していると発表しました。
チームは、ユーザーへの補償、資金の回収、プロトコルの再開に関する詳細は、後日別の発表で公表すると述べた。
※これは投資アドバイスではありません。
