Un protocolo de préstamos basado en Hedera, Bonzo Finance, ha sufrido un ataque a su oráculo, lo que ha provocado pérdidas de aproximadamente 9,00 millones de dólares estadounidenses. El atacante utilizó como colateral tokens SAUCE cuyo precio estaba artificialmente inflado para tomar prestados activos del protocolo muy por encima de su valor real.

El informe inicial del incidente de Bonzo indica que el atacante depositó únicamente 250 tokens SAUCE (con un valor de solo unos pocos dólares) y posteriormente envió una actualización de precios, inflando artificialmente el precio del token en aproximadamente 12 órdenes de magnitud. Tras esto, la dirección tomó prestados 6,63 millones de USDC y 34,50 millones de HBAR envueltos (wHBAR) del pool de préstamos.

Se entiende que este incidente se originó en una vulnerabilidad del validador de oráculos en cadena del proveedor de servicios de oráculo Supra, que aceptó erróneamente los datos de precios de SAUCE con una firma nula.

[PANews]

El 12 de julio (UTC+8), Bonzo Finance, un protocolo de préstamos basado en Hedera, sufrió un ataque de oráculo con pérdidas de aproximadamente 9 millones de dólares. El atacante utilizó SAUCE como garantía después de que el precio del token fuera elevado de forma anómala, pidiendo prestados activos del protocolo por un valor muy superior al real.

Un informe preliminar del incidente publicado por Bonzo muestra que el atacante depositó solo 250 SAUCE (valorados en unos pocos dólares), luego envió una actualización de precio que elevó artificialmente el precio del token en aproximadamente 12 órdenes de magnitud. Posteriormente, la dirección pidió prestados 6,63 millones de dólares en USDC y 34,50 millones de wHBAR (HBAR encapsulado) del pool de préstamos.

Se informa que el incidente se debió a una vulnerabilidad en el validador del oráculo en cadena del proveedor de servicios de oráculo Supra, que aceptó erróneamente datos de precios de SAUCE con una firma puesta a cero. Supra ha confirmado el problema y ha completado la corrección. Bonzo enfatizó que el ataque no se debió a vulnerabilidades en los contratos inteligentes de Bonzo ni en la red subyacente de Hedera.

Los datos muestran que el segundo trimestre de 2026 se ha convertido en el trimestre con el mayor número de ataques en la historia de la industria de las criptomonedas, con un total de 83 incidentes de seguridad y pérdidas acumuladas de aproximadamente 755 millones de dólares. De estos, los ataques a puentes entre cadenas causaron pérdidas de aproximadamente 351 millones de dólares, mientras que las filtraciones de permisos de administrador y la manipulación de precios de tokens falsos representaron el 37% de las pérdidas trimestrales.

Afectado por los continuos incidentes de seguridad, el valor total bloqueado (TVL) en la industria DeFi ha disminuido de aproximadamente 115 mil millones de dólares en enero de este año a más de 70 mil millones de dólares en junio, una caída acumulada del 39%. Según datos de CryptoRank, la industria ha experimentado 121 incidentes de seguridad este año, con pérdidas acumuladas de aproximadamente 942 millones de dólares. Los problemas de seguridad continuos podrían erosionar aún más la confianza de los usuarios y acelerar la salida de fondos.

Cabe mencionar que en febrero de este año, YieldBlox, un protocolo de préstamos en el ecosistema Stellar, también experimentó un incidente similar. El atacante robó aproximadamente 10 millones de dólares en activos de su pool de préstamos manipulando la ruta del precio de la garantía USTRY. (Fuente: PANews)

[ME News]

HBAR

SUPRA

USDC

Bonzo sufrió un ataque de oráculo que le costó aproximadamente 9 millones de dólares; el atacante manipuló el precio de SAUCE para tomar prestados activos por una cantidad masiva.

Bonzo Lend, un protocolo de préstamos descentralizado en Hedera (HBAR), fue afectado por aproximadamente 9.05 millones de dólares el viernes por la noche, hora del Este, después de que un atacante explotara una vulnerabilidad en un verificador de oráculo Supra de terceros y presentara un precio artificial para el token SAUCE, según un informe preliminar del incidente publicado por Bonzo.

El protocolo pausó Bonzo Lend poco después del ataque. Su programa de puntos también se detuvo, mientras que las bóvedas, el puente y los productos de staking de Bonzo no se vieron afectados. Hedera dijo en X que el incidente se limitó a un verificador de oráculo de terceros y no involucró un fallo en la infraestructura central de la red.

El atacante depositó 250 SAUCE, con un valor de unos pocos dólares, como garantía alrededor de las 8:40 p.m. ET del viernes, y luego presentó una actualización de precio al contrato de oráculo bajo demanda de Supra que exageró el valor del token en aproximadamente 12 órdenes de magnitud, según el informe. SAUCE cotizaba cerca de 0.2 HBAR en ese momento; la actualización manipulada llevaba una cifra de 1 seguido de 30 ceros.

A los pocos segundos de que el precio manipulado llegara a la cadena a las 8:51 p.m. ET, la billetera pidió prestados aproximadamente 6.63 millones de USDC y 34.5 millones de HBAR envueltos contra el depósito casi sin valor. Bonzo valoró el principal extraído en aproximadamente 9.05 millones de dólares utilizando un precio de referencia de HBAR de alrededor de 0.07 dólares.

La actualización de precio falsa llevaba una firma criptográfica compuesta enteramente por ceros. El verificador de Supra debería haberla rechazado de inmediato, pero en cambio la trató como válida debido a un fallo en la forma en que el contrato verificaba las firmas.

Eso permitió al atacante presentar un precio sin la aprobación de los firmantes legítimos de Supra. En pocas palabras, el atacante no descifró la criptografía de Supra ni robó una clave de firma; más bien, encontraron una manera de hacer que el verificador aceptara una actualización obviamente inválida.

Bonzo dijo que Supra reconoció el problema y desplegó una solución al contrato verificador afectado en la red principal de Hedera. "Es debido a esa solución, y la capacidad resultante de inspeccionar el comportamiento del contrato, que podemos describir el mecanismo", escribió el equipo de Bonzo.

Una segunda billetera pidió prestado alrededor de 1 millón de dólares mientras el precio incorrecto estaba activo, luego contactó al equipo, se identificó como un respondedor de sombrero blanco y dijo que tenía la intención de devolver los fondos. Bonzo excluyó esa cantidad de su cifra principal, que de lo contrario totalizaría aproximadamente 10.06 millones de dólares.

El investigador en cadena Specter fue el primero en señalar movimientos sospechosos de fondos de Hedera a Ethereum antes de que Bonzo confirmara la fuente del exploit. Una actualización legítima del oráculo restauró el precio de SAUCE a las 9:36 p.m. ET del viernes, y Bonzo pausó su pool de préstamos cinco minutos después.

El incidente extiende un año difícil para los exploits de cripto, con proyectos perdiendo aproximadamente 972 millones de dólares en 207 incidentes récord en la primera mitad de 2026, según Immunefi. También encaja en un cambio más amplio hacia fallos de infraestructura, compromisos de claves privadas y debilidades de acceso privilegiado fuera de los contratos centrales de una aplicación afectada, una dinámica vista en el presunto compromiso de clave del puente Gravity y el exploit de verificación de puente de Kelp DAO.

Descargo de responsabilidad: The Block es un medio de comunicación independiente que ofrece noticias, investigación y datos. A partir de noviembre de 2023, Foresight Ventures es un inversor mayoritario de The Block. Foresight Ventures invierte en otras empresas del sector cripto. El exchange de criptomonedas Bitget es un LP ancla para Foresight Ventures. The Block continúa operando de manera independiente para ofrecer información objetiva, impactante y oportuna sobre la industria cripto. Aquí están nuestras divulgaciones financieras actuales.

© 2026 The Block. Todos los derechos reservados. Este artículo se proporciona únicamente con fines informativos. No se ofrece ni pretende ser utilizado como asesoramiento legal, fiscal, de inversión, financiero o de otro tipo.

El protocolo de préstamos de Hedera Bonzo Lend sufrió una pérdida de 9 millones de dólares tras la aceptación, por parte del verificador Supra, de una actualización manipulada del precio.

El protocolo de préstamos Bonzo Finance, basado en Hedera, sufrió un ataque a su oráculo, lo que provocó pérdidas por aproximadamente 9 millones de dólares estadounidenses. El atacante utilizó como colateral el token SAUCE, cuyo precio había sido artificialmente inflado de forma anómala, para tomar prestados activos del protocolo por un valor muy superior a su valor real.

Según el informe preliminar sobre el incidente publicado por Bonzo, el atacante depositó únicamente 250 tokens SAUCE (con un valor de apenas unos pocos dólares estadounidenses) y, a continuación, envió una actualización de precios que elevó artificialmente el valor de dicho token aproximadamente doce órdenes de magnitud. Posteriormente, dicha dirección tomó prestados 6,63 millones de dólares estadounidenses en USDC y 34,5 millones de tokens wHBAR (HBAR encapsulados) del pool de préstamos.

Se informa que este incidente se originó en una vulnerabilidad presente en el validador del oráculo en cadena de Supra, el proveedor de servicios de oráculo, que erróneamente aceptó un dato de precio de SAUCE cuya firma había sido anulada.

[PANews]

Bonzo sufrió un ataque a su oráculo que le causó pérdidas de aproximadamente 9 millones de dólares estadounidenses; el atacante manipuló el precio de SAUCE para tomar prestados activos por una cantidad masiva.

El protocolo de préstamos basado en Hedera, Bonzo Finance, sufrió un ataque contra su oráculo, con pérdidas de aproximadamente 9 millones de dólares estadounidenses. El atacante utilizó como colateral el token SAUCE, cuyo precio había sido artificialmente elevado de forma anómala, para tomar prestados activos del protocolo por un valor muy superior a su valor real. Según el informe preliminar del incidente publicado por Bonzo Finance, el atacante depositó únicamente 250 tokens SAUCE y, posteriormente, envió una única actualización de precios que incrementó artificialmente el valor de dicho token en aproximadamente 12 órdenes de magnitud; tras ello, la dirección afectada tomó prestados 6,63 millones de USDC y 34,5 millones de hbar encapsulados (wrapped HBAR) del pool de préstamos.

Este ataque no se debió a ninguna vulnerabilidad presente en los contratos inteligentes de Bonzo Finance ni en la propia red subyacente de Hedera, sino que surgió de una vulnerabilidad existente en el validador del oráculo en cadena de Supra, el proveedor de servicios de oráculo, el cual aceptó incorrectamente un dato de precio de SAUCE cuya firma había sido anulada (puesta a cero). Actualmente, Supra ya ha confirmado este problema y lo ha solucionado.

[Odaily]

Pérdida de aproximadamente 9 millones de dólares estadounidenses; el protocolo de préstamos del ecosistema Hedera, Bonzo Finance, sufrió un ataque a su oráculo.

Bonzo Lend, el protocolo de préstamos más grande del ecosistema Hedera, anunció que sufrió pérdidas de aproximadamente 9,05 millones de dólares debido a la explotación de una vulnerabilidad en un oráculo de precios de terceros. Tras el ataque, los servicios de Bonzo Lend y Bonzo Points fueron suspendidos temporalmente.

Según el informe de incidentes publicado por Bonzo Finance Labs en coordinación con la Bonzo Finance Foundation, el ataque ocurrió el 11 de julio de 2026, aproximadamente a las 00:51 UTC (03:51 UTC+3). El atacante logró pedir prestado significativamente más que el valor real de SAUCE con una pequeña cantidad de garantía al enviar un precio manipulado de SAUCE al sistema de oráculo Supra utilizado por Bonzo Lend.

Bonzo argumentó que la vulnerabilidad de seguridad no provino de sus propios contratos inteligentes ni del diseño de su protocolo de préstamos. La empresa declaró que el problema radicaba en el mecanismo de verificación de firmas del oráculo de precios en cadena de terceros utilizado por Bonzo Lend.

Según el informe, la primera cuenta utilizada por el atacante envió un precio manipulado de SAUCE en HBAR al contrato de actualización de precios bajo demanda del oráculo en la red principal de Hedera. Si bien el precio de mercado real de SAUCE es de aproximadamente 0,2 HBAR, el valor enviado por el atacante se mostró aproximadamente 12 decimales más alto que el precio real.

Apenas ocho segundos después de que el precio manipulado se registrara en la cadena, el atacante utilizó una pequeña cantidad de inversión en SAUCE como garantía. Debido a los datos del oráculo, el protocolo calculó que el valor de esta garantía era excepcionalmente alto, lo que resultó en que el atacante pidiera prestados activos que excedían con creces el valor real de su garantía depositada.

Según la investigación de Bonzo, la actualización del precio manipulado fue aceptada porque el validador en cadena de Supra confirmó la prueba sin una firma válida. El equipo agregó que el atacante no falsificó una firma de oráculo válida y que no hubo cambios en el precio de mercado real de SAUCE.

El protocolo declaró que el precio incorrecto debería haber sido rechazado en la capa de validación del oráculo antes de llegar a Bonzo Lend, pero el sistema de validación no lo hizo.

Se reveló que una segunda cuenta también pidió prestados activos adicionales del protocolo mientras los datos de precios anómalos estaban activos. Bonzo declaró que esta cuenta se puso en contacto posteriormente con el equipo, identificándose como un investigador de seguridad white-hat y expresando su intención de devolver los fondos. Esta transacción está siendo considerada por el protocolo como parte del proceso de recuperación.

Se informó que solo los servicios de Bonzo Lend y Bonzo Points se vieron afectados por el ataque. Bonzo Vaults, Bonzo Bridge y los servicios de staking y unstaking unidireccionales para BONZO y XBONZO continuaron operando con normalidad. Un gráfico que muestra la caída del precio de BONZO.

El pool de préstamos en Bonzo Lend ha sido suspendido mientras continúan las revisiones y los esfuerzos de recuperación. Bonzo Finance Labs y Bonzo Finance Foundation anunciaron que están evaluando las condiciones bajo las cuales el protocolo podría reabrirse y el proceso para que los proveedores de liquidez retiren sus activos. El equipo declaró que los detalles sobre la compensación a los usuarios, la recuperación de fondos y la reactivación del protocolo se compartirán más adelante en un anuncio separado.

*Esto no es asesoramiento de inversión.

Los hackers están manipulando el precio de una altcoin.

Bonzo perdió aproximadamente 9,00 millones de dólares debido a un ataque contra el oráculo, en el que el atacante manipuló el precio de SAUCE para tomar prestada una cantidad enorme de activos.

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]

Bonzo遭预言机攻击损失约900万美元，攻击者操纵SAUCE价格借出巨额资产

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]