Un protocole de prêt basé sur Hedera, Bonzo Finance, a subi une attaque d'oracle, entraînant des pertes d'environ 9,00 millions de dollars. L'attaquant a utilisé des garanties où le prix du jeton SAUCE était anormalement gonflé pour emprunter des actifs du protocole dépassant largement leur valeur réelle.

Le rapport d'incident initial de Bonzo indique que l'attaquant a déposé seulement 250 jetons SAUCE (d'une valeur de quelques dollars seulement) et a ensuite soumis une mise à jour de prix, gonflant artificiellement le prix du jeton d'environ 12 ordres de grandeur. Suite à cela, l'adresse a emprunté 6,63 millions de dollars USDC et 34,50 millions de wHBAR (wrapped HBAR) du pool de prêt.

Il est entendu que cet incident provenait d'une vulnérabilité dans le validateur d'oracle on-chain du fournisseur de services d'oracle Supra, qui a erronément accepté les données de prix SAUCE avec une signature nulle.

[PANews]

Le 12 juillet (UTC+8), Bonzo Finance, un protocole de prêt basé sur Hedera, a subi une attaque de type oracle, entraînant une perte d'environ 9 millions de dollars américains. L'attaquant a utilisé des garanties dont le prix du jeton SAUCE avait été anormalement gonflé pour emprunter des actifs d'une valeur bien supérieure à leur valeur réelle au protocole.

Un rapport préliminaire sur l'incident publié par Bonzo indique que l'attaquant n'a déposé que 250 SAUCE (d'une valeur de quelques dollars seulement), puis a soumis une mise à jour de prix qui a artificiellement augmenté le prix du jeton d'environ 12 ordres de grandeur. Par la suite, l'adresse a emprunté 6,63 millions de dollars américains en USDC et 34,50 millions de jetons HBAR encapsulés (wHBAR) dans le pool de prêt.

Il est rapporté que cet incident est dû à une vulnérabilité dans le validateur de l'oracle on-chain du fournisseur de services d'oracle Supra, qui a accepté par erreur des données de prix SAUCE dont la signature avait été mise à zéro. Supra a confirmé le problème et l'a résolu. Bonzo a souligné que cette attaque n'était pas due à une vulnérabilité dans les contrats intelligents de Bonzo ou dans le réseau Hedera sous-jacent.

Les données montrent que le deuxième trimestre 2026 est devenu le trimestre le plus attaqué de l'histoire de l'industrie de la cryptographie, avec 83 incidents de sécurité et des pertes cumulées d'environ 755 millions de dollars américains. Parmi ceux-ci, les attaques de pont inter-chaînes ont causé environ 351 millions de dollars de pertes, tandis que les autorisations d'administrateur compromises et la manipulation des prix de jetons frauduleux représentaient 37 % des pertes trimestrielles.

Affectée par les incidents de sécurité continus, la valeur totale verrouillée (TVL) dans l'industrie DeFi est passée d'environ 115 milliards de dollars américains en janvier à plus de 70 milliards de dollars américains en juin, soit une baisse cumulée de 39 %. Selon les données de CryptoRank, 121 incidents de sécurité se sont produits cette année, entraînant des pertes cumulées d'environ 942 millions de dollars américains. Les problèmes de sécurité persistants pourraient encore éroder la confiance des utilisateurs et accélérer la fuite des capitaux.

Il convient de noter qu'en février de cette année, YieldBlox, un protocole de prêt de l'écosystème Stellar, a également connu un incident similaire. L'attaquant a volé environ 10 millions de dollars d'actifs dans son pool de prêt en manipulant le chemin de prix de la garantie USTRY. (Source : PANews)

[ME News]

HBAR

SUPRA

USDC

Bonzo a perdu environ 9 millions de dollars suite à une attaque de l'oracle, l'attaquant ayant manipulé le prix de SAUCE pour emprunter d'énormes actifs.

Bonzo Lend, un protocole décentralisé de prêt sur Hedera (HBAR), a été victime d’une attaque d’un montant d’environ 9,05 millions de dollars américains vendredi soir, heure de l’Est (ET), après qu’un attaquant ait exploité une vulnérabilité dans un vérificateur d’oracle tiers fourni par Supra et soumis un prix artificiel pour le jeton SAUCE, selon un rapport préliminaire sur l’incident publié par Bonzo.

Le protocole a immédiatement suspendu Bonzo Lend juste après l’attaque. Son programme de points a également été interrompu, tandis que les coffres-forts (vaults), le pont (bridge) et les produits de staking de Bonzo n’ont pas été affectés. Hedera a indiqué sur X que l’incident était circonscrit au vérificateur d’oracle tiers et ne résultait d’aucune faille dans l’infrastructure centrale du réseau.

L’attaquant a déposé 250 jetons SAUCE — d’une valeur de quelques dollars — en garantie vers 20 h 40, heure de l’Est, vendredi. Il a ensuite soumis une mise à jour de prix au contrat d’oracle à la demande de Supra, surestimant la valeur du jeton d’environ douze ordres de grandeur, selon le rapport. À ce moment-là, SAUCE était coté aux alentours de 0,2 HBAR ; la mise à jour manipulée affichait un chiffre égal à 1 suivi de 30 zéros.

Moins d’une seconde après que ce prix falsifié ait été enregistré sur la chaîne à 20 h 51, heure de l’Est, le portefeuille a emprunté environ 6,63 millions de USDC et 34,5 millions de HBAR « enveloppés » (wrapped HBAR) contre ce dépôt quasi sans valeur. Bonzo a évalué le montant principal extrait à environ 9,05 millions de dollars américains, en utilisant un prix de référence du HBAR d’environ 0,07 dollar américain.

La mise à jour de prix factice comportait une signature cryptographique composée exclusivement de zéros. Le vérificateur de Supra aurait dû la rejeter immédiatement, mais il l’a au contraire considérée comme valide en raison d’un défaut dans la manière dont le contrat vérifiait les signatures.

Cela a permis à l’attaquant de soumettre un prix sans l’approbation des signataires légitimes de Supra. Autrement dit, l’attaquant n’a ni craqué la cryptographie de Supra ni volé une clé de signature ; il a simplement trouvé un moyen de faire accepter au vérificateur une mise à jour manifestement invalide.

Bonzo a indiqué que Supra avait reconnu le problème et déployé un correctif sur le contrat de vérificateur concerné sur le réseau principal (mainnet) de Hedera. « C’est grâce à ce correctif, et à la capacité qui en découle d’inspecter le comportement du contrat, que nous sommes en mesure de décrire le mécanisme », ont écrit les membres de l’équipe Bonzo.

Un second portefeuille a emprunté environ 1 million de dollars américains pendant que le prix erroné restait actif, puis a contacté l’équipe, s’est identifié comme un « white-hat » (acteur éthique) et a déclaré son intention de restituer les fonds. Bonzo a exclu ce montant de son chiffre phare, qui aurait autrement atteint environ 10,06 millions de dollars américains.

L’investigateur blockchain Specter a été le premier à signaler des mouvements de fonds suspects depuis Hedera vers Ethereum, avant même que Bonzo ne confirme la source de l’exploit. Une mise à jour légitime de l’oracle a rétabli le prix de SAUCE à 21 h 36, heure de l’Est, vendredi, et Bonzo a suspendu son pool de prêt cinq minutes plus tard.

Cet incident s’inscrit dans une année particulièrement difficile pour les exploits dans le domaine de la crypto, avec des pertes cumulées d’environ 972 millions de dollars américains sur un nombre record de 207 incidents au cours du premier semestre 2026, selon Immunefi. Il illustre aussi une tendance plus large vers des défaillances d’infrastructure, des compromissions de clés privées et des faiblesses liées aux accès privilégiés situées en dehors des contrats principaux de l’application concernée — une dynamique déjà observée lors de la compromission présumée des clés du pont Gravity Bridge et de l’exploit de vérification du pont de Kelp DAO.

Avertissement : The Block est un média indépendant qui fournit des informations, des analyses et des données. En novembre 2023, Foresight Ventures détenait la majorité du capital de The Block. Foresight Ventures investit également dans d’autres entreprises du secteur de la crypto. L’exchange crypto Bitget est un partenaire financier majeur (anchor LP) de Foresight Ventures. The Block continue toutefois d’opérer de façon indépendante afin de fournir des informations objectives, pertinentes et opportunes sur l’industrie de la crypto. Voici nos déclarations financières actuelles.

© 2026 The Block. Tous droits réservés. Cet article est fourni à titre purement informatif. Il n’est ni offert ni destiné à être utilisé comme conseil juridique, fiscal, d’investissement, financier ou autre.

Le protocole de prêt Hedera Bonzo Lend a été victime d’une attaque de 9 millions de dollars après qu’un vérificateur Supra ait accepté une mise à jour de prix manipulée.

Le protocole de prêt Bonzo Finance, basé sur Hedera, a subi une attaque contre son oracle, entraînant des pertes d’environ 9 millions de dollars américains. L’attaquant a utilisé des actifs en garantie liés au jeton SAUCE, dont le prix avait été artificiellement gonflé, pour emprunter des fonds bien supérieurs à leur valeur réelle au sein du protocole.

Selon le rapport préliminaire d’incident publié par Bonzo, l’attaquant n’a déposé que 250 jetons SAUCE (d’une valeur de quelques dollars seulement), puis a soumis une mise à jour de prix qui a fait augmenter artificiellement la valeur de ce jeton d’environ 12 ordres de grandeur. Par la suite, cette adresse a emprunté 6,63 millions de dollars américains en USDC et 34,5 millions de jetons HBAR encapsulés (wHBAR) depuis le pool de prêt.

Cette incident découle d’une vulnérabilité présente dans le validateur d’oracle en chaîne de Supra, fournisseur d’oracles, qui a erronément accepté une donnée de prix pour le jeton SAUCE dont la signature avait été réinitialisée à zéro.

[PANews]

Bonzo a subi une attaque sur son oracle, entraînant des pertes d’environ 9 millions de dollars américains ; l’attaquant a manipulé le prix du token SAUCE pour emprunter des actifs à grande échelle.

Le protocole de prêt basé sur Hedera, Bonzo Finance, a été victime d’une attaque contre son oracle, entraînant des pertes d’environ 9 millions de dollars américains. L’attaquant a utilisé des actifs en garantie — dont le prix du jeton SAUCE avait été artificiellement gonflé — pour emprunter depuis le protocole des actifs bien supérieurs à leur valeur réelle. Selon le rapport préliminaire sur l’incident publié par Bonzo Finance, l’attaquant n’a déposé que 250 jetons SAUCE, puis a soumis une seule mise à jour de prix, augmentant artificiellement la valeur de ce jeton d’environ 12 ordres de grandeur ; ensuite, cette adresse a emprunté 6,63 millions de USDC et 34,5 millions de hbar encapsulés (wrapped HBAR) depuis le pool de prêt.

Cette attaque ne résulte pas d’une vulnérabilité dans les contrats intelligents de Bonzo Finance ni dans le réseau sous-jacent Hedera lui-même, mais découle d’une faille présente dans le validateur d’oracle en chaîne de Supra, fournisseur d’oracles : ce dernier a erronément accepté une donnée de prix pour le jeton SAUCE dont la signature avait été remplacée par des zéros. Supra a confirmé ce problème et y a apporté une correction.

[Odaily]

Pertes d'environ 9,00 millions de dollars, le protocole de prêt de l'écosystème Hedera, Bonzo Finance, a subi une attaque d'oracle

Bonzo Lend, le plus grand protocole de prêt de l’écosystème Hedera, a annoncé avoir subi des pertes d’environ 9,05 millions de dollars américains suite à l’exploitation d’une vulnérabilité dans un oracle de prix tiers. À la suite de cette attaque, les services Bonzo Lend et Bonzo Points ont été temporairement suspendus.

Selon le rapport d’incident publié par Bonzo Finance Labs en coordination avec la Bonzo Finance Foundation, l’attaque s’est produite le 11 juillet 2026 à environ 00 h 51 UTC (03 h 51 UTC+3). L’attaquant a réussi à emprunter un montant nettement supérieur à la valeur réelle du jeton SAUCE, en utilisant une faible quantité de garantie, en envoyant au système d’oracle Supra — utilisé par Bonzo Lend — un prix manipulé de SAUCE.

Bonzo a fait valoir que la vulnérabilité de sécurité ne provenait ni de ses propres contrats intelligents, ni de la conception de son protocole de prêt. La société a indiqué que le problème résidait dans le mécanisme de vérification des signatures de l’oracle de prix hors chaîne tiers utilisé par Bonzo Lend.

Selon le rapport, le premier compte utilisé par l’attaquant a envoyé, sur le réseau principal Hedera, un prix manipulé de SAUCE exprimé en HBAR au contrat de mise à jour à la demande du prix de l’oracle. Alors que le prix réel du marché de SAUCE est d’environ 0,2 HBAR, la valeur transmise par l’attaquant apparaissait comme étant environ 12 décimales supérieure au prix réel.

Huit secondes seulement après que ce prix manipulé ait été enregistré sur la chaîne, l’attaquant a utilisé une petite quantité d’investissement en SAUCE comme garantie. En raison des données fournies par l’oracle, le protocole a évalué la valeur de cette garantie comme exceptionnellement élevée, ce qui a permis à l’attaquant d’emprunter des actifs largement supérieurs à la valeur réelle de sa garantie déposée.

Selon l’enquête menée par Bonzo, la mise à jour de prix manipulée a été acceptée parce que le validateur en chaîne de Supra a confirmé la preuve sans signature valide. L’équipe a ajouté que l’attaquant n’avait pas forgé de signature valide d’oracle et qu’il n’y avait eu aucune modification du prix réel du marché de SAUCE.

Le protocole a précisé que ce prix erroné aurait dû être rejeté au niveau de la couche de validation de l’oracle avant d’atteindre Bonzo Lend, mais le système de validation y a échoué.

Il a été révélé qu’un deuxième compte avait également emprunté des actifs supplémentaires auprès du protocole pendant que les données de prix anormales étaient actives. Bonzo a indiqué que ce compte avait par la suite contacté l’équipe, se présentant comme un chercheur en sécurité « white-hat », et exprimant son intention de restituer les fonds. Cette transaction est prise en compte par le protocole dans le cadre du processus de récupération.

Il a été signalé que seuls les services Bonzo Lend et Bonzo Points avaient été affectés par l’attaque. Les services Bonzo Vaults, Bonzo Bridge, ainsi que les fonctionnalités de staking et de déstaking unidirectionnels pour BONZO et XBONZO ont continué de fonctionner normalement. Un graphique illustrant la baisse du prix de BONZO.

Le pool de prêt de Bonzo Lend a été suspendu pendant que les audits et les opérations de récupération sont en cours. Bonzo Finance Labs et la Bonzo Finance Foundation ont annoncé qu’elles évaluaient les conditions dans lesquelles le protocole pourrait être rouvert, ainsi que la procédure permettant aux fournisseurs de liquidités de retirer leurs actifs. L’équipe a précisé que les détails concernant l’indemnisation des utilisateurs, la récupération des fonds et la réactivation du protocole seraient communiqués ultérieurement dans une annonce distincte.

*Ceci n’est pas un conseil en investissement.

Des pirates informatiques manipulent le prix d’une altcoin

Bonzo a perdu environ 9,00 millions de dollars à cause d'une attaque d'oracle, l'attaquant ayant manipulé le prix de SAUCE pour emprunter une énorme quantité d'actifs.

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]

Bonzo遭预言机攻击损失约900万美元，攻击者操纵SAUCE价格借出巨额资产

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]