Um protocolo de empréstimo baseado na Hedera, o Bonzo Finance, sofreu um ataque a seu oráculo, resultando em perdas de aproximadamente 9,00 milhões de dólares. O invasor utilizou como colateral tokens SAUCE cujo preço havia sido anormalmente inflacionado para tomar empréstimos de ativos do protocolo muito acima de seu valor real.

O relatório inicial do incidente divulgado pelo Bonzo indica que o invasor depositou apenas 250 tokens SAUCE (com valor de poucos dólares) e, posteriormente, enviou uma atualização de preço, inflacionando artificialmente o preço do token em aproximadamente 12 ordens de grandeza. Após isso, o endereço tomou empréstimos de 6,63 milhões de USDC e 34,50 milhões de HBAR envolvidos (wHBAR) do pool de empréstimos.

Entende-se que este incidente teve origem em uma vulnerabilidade no validador de oráculo em cadeia do provedor de serviço de oráculo Supra, que erroneamente aceitou dados de preço do token SAUCE com uma assinatura nula.

[PANews]

Em 12 de julho (UTC+8), o protocolo de empréstimo Bonzo Finance, baseado na Hedera, sofreu um ataque ao oráculo, resultando em perdas de aproximadamente US$ 9 milhões. O invasor utilizou colaterais do token SAUCE, cujo preço havia sido artificialmente inflacionado, para tomar empréstimos do protocolo com valor muito superior ao seu valor real.

O relatório preliminar sobre o incidente publicado pela Bonzo revela que o invasor depositou apenas 250 tokens SAUCE (com valor de poucos dólares) e, em seguida, enviou uma atualização de preço que elevou artificialmente o valor desse token em cerca de 12 ordens de grandeza. Após isso, o endereço envolvido retirou US$ 6,63 milhões em USDC e 34,5 milhões de wHBAR (HBAR encapsulado) do pool de empréstimos.

Informações indicam que o incidente teve origem em uma vulnerabilidade no validador do oráculo on-chain da Supra, provedora de oráculos, que incorretamente aceitou um dado de preço do token SAUCE com a assinatura zerada. A Supra já confirmou o problema e concluiu sua correção. A Bonzo enfatizou que o ataque não foi causado por nenhuma vulnerabilidade nos seus contratos inteligentes nem na própria rede subjacente da Hedera.

Dados mostram que o segundo trimestre de 2026 tornou-se o trimestre com o maior número de ataques da história da indústria de criptoativos, registrando 83 incidentes de segurança e perdas acumuladas de cerca de US$ 755 milhões. Desses, ataques a pontes cross-chain causaram perdas de aproximadamente US$ 351 milhões, enquanto vazamentos de permissões de administrador e manipulações falsas de preços de tokens representaram 37% das perdas do trimestre.

Sob o impacto contínuo desses incidentes de segurança, o valor total bloqueado (TVL) do setor DeFi caiu de cerca de US$ 115 bilhões em janeiro deste ano para mais de US$ 70 bilhões em junho, representando uma queda acumulada de 39%. Segundo dados da CryptoRank, já ocorreram 121 incidentes de segurança no setor este ano, com perdas acumuladas de aproximadamente US$ 942 milhões; problemas de segurança contínuos podem ainda enfraquecer ainda mais a confiança dos usuários e acelerar a saída de capital.

Vale destacar que, em fevereiro deste ano, o protocolo de empréstimo YieldBlox, pertencente ao ecossistema Stellar, também sofreu um incidente semelhante. O invasor manipulou o caminho de precificação do colateral USTRY para roubar cerca de US$ 10 milhões em ativos do seu pool de empréstimos. (Fonte: PANews)

[ME News]

HBAR

SUPRA

USDC

Bonzo sofreu perdas de aproximadamente 9 milhões de dólares devido a um ataque de oráculo, com o atacante manipulando o preço do SAUCE para emprestar ativos em grande escala.

Bonzo Lend, um protocolo de empréstimo descentralizado na Hedera (HBAR), foi atingido por aproximadamente US$ 9,05 milhões na noite de sexta-feira ET após um atacante explorar uma vulnerabilidade em um verificador de oráculo terceirizado da Supra e submeter um preço artificial para o token SAUCE, de acordo com um relatório preliminar de incidente publicado pela Bonzo.

O protocolo pausou o Bonzo Lend logo após o ataque. Seu programa de pontos também foi interrompido, enquanto os cofres, a ponte e os produtos de staking da Bonzo não foram afetados. A Hedera disse no X que o incidente foi restrito a um verificador de oráculo terceirizado e não envolveu uma falha na infraestrutura principal da rede.

O atacante depositou 250 SAUCE, avaliados em alguns dólares, como garantia por volta das 20:40 ET de sexta-feira, e então submeteu uma atualização de preço para o contrato de oráculo sob demanda da Supra que superestimou o valor do token em cerca de 12 ordens de magnitude, de acordo com o relatório. SAUCE estava sendo negociado perto de 0,2 HBAR na época; a atualização manipulada apresentava um valor de 1 seguido por 30 zeros.

Segundos após o preço manipulado chegar à blockchain às 20:51 ET, a carteira tomou emprestado aproximadamente 6,63 milhões de USDC e 34,5 milhões de HBAR embrulhados contra o depósito quase sem valor. A Bonzo avaliou o principal extraído em aproximadamente US$ 9,05 milhões usando um preço de referência de HBAR de cerca de US$ 0,07.

A atualização de preço falsa continha uma assinatura criptográfica composta inteiramente por zeros. O verificador da Supra deveria tê-la rejeitado imediatamente, mas em vez disso a tratou como válida devido a uma falha na forma como o contrato verificava as assinaturas.

Isso permitiu que o atacante submetesse um preço sem a aprovação dos signatários legítimos da Supra. Simplificando, o atacante não quebrou a criptografia da Supra nem roubou uma chave de assinatura; em vez disso, eles encontraram uma maneira de fazer o verificador aceitar uma atualização obviamente inválida.

A Bonzo disse que a Supra reconheceu o problema e implementou uma correção no contrato de verificador afetado na mainnet da Hedera. "É por causa dessa correção, e da capacidade resultante de inspecionar o comportamento do contrato, que somos capazes de descrever o mecanismo", escreveram a equipe da Bonzo.

Uma segunda carteira tomou emprestado cerca de US$ 1 milhão enquanto o preço incorreto estava ativo, e então contatou a equipe, identificou-se como um respondente white-hat e disse que pretendia devolver os fundos. A Bonzo excluiu esse valor de seu valor principal, que de outra forma totalizaria aproximadamente US$ 10,06 milhões.

O investigador onchain Specter foi o primeiro a sinalizar movimentos suspeitos de fundos da Hedera para a Ethereum antes que a Bonzo confirmasse a origem da exploração. Uma atualização legítima do oráculo restaurou o preço do SAUCE às 21:36 ET de sexta-feira, e a Bonzo pausou sua pool de empréstimos cinco minutos depois.

O incidente estende um ano pesado para explorações de cripto, com projetos perdendo aproximadamente US$ 972 milhões em um recorde de 207 incidentes na primeira metade de 2026, de acordo com a Immunefi. Ele também se encaixa em uma mudança mais ampla em direção a falhas de infraestrutura, comprometimento de chaves privadas e fraquezas de acesso privilegiado fora dos contratos principais de uma aplicação afetada, uma dinâmica vista no suspeito comprometimento da chave da Gravity Bridge e na exploração de verificação de ponte da Kelp DAO.

Aviso Legal: The Block é um veículo de mídia independente que fornece notícias, pesquisas e dados. Em novembro de 2023, a Foresight Ventures é a investidora majoritária da The Block. A Foresight Ventures investe em outras empresas no espaço cripto. A exchange de criptomoedas Bitget é uma LP âncora para a Foresight Ventures. A The Block continua a operar independentemente para fornecer informações objetivas, impactantes e oportunas sobre a indústria cripto. Aqui estão nossas divulgações financeiras atuais.

© 2026 The Block. Todos os Direitos Reservados. Este artigo é fornecido apenas para fins informativos. Não é oferecido nem destinado a ser usado como aconselhamento legal, tributário, de investimento, financeiro ou de outra natureza.

O protocolo de empréstimo Hedera Bonzo Lend foi atingido por 9 milhões de dólares após o verificador Supra aceitar uma atualização manipulada de preço

O protocolo de empréstimo Bonzo Finance, baseado em Hedera, sofreu um ataque de oráculo, resultando em perdas de aproximadamente 9 milhões de dólares. O atacante utilizou garantias com o preço do token SAUCE inflado de forma anômala para emprestar ativos do protocolo com valor muito superior ao real.

Um relatório preliminar do incidente divulgado pela Bonzo mostra que o atacante depositou apenas 250 tokens SAUCE (valendo apenas alguns dólares), e então submeteu uma atualização de preço que inflou artificialmente o preço do token em cerca de 12 ordens de magnitude. Posteriormente, o endereço emprestou 6,63 milhões de USDC e 34,5 milhões de HBAR encapsulados (wHBAR) do pool de empréstimos.

Sabe-se que o incidente se originou de uma vulnerabilidade no validador do oráculo on-chain do provedor de serviços de oráculo Supra, que aceitou incorretamente dados de preço SAUCE com uma assinatura zerada.

[PANews]

Bonzo sofreu um ataque ao oráculo, perdendo cerca de 9 milhões de dólares americanos; o invasor manipulou o preço do SAUCE para tomar emprestado um montante substancial de ativos.

O Bonzo Finance, um protocolo de empréstimo baseado em Hedera, sofreu um ataque de oráculo, resultando em perdas de aproximadamente 9 milhões de dólares. O atacante utilizou garantias com o preço do token SAUCE anormalmente inflado para emprestar ativos do protocolo que excediam em muito o seu valor real. Um relatório preliminar do incidente divulgado pelo Bonzo Finance indicou que o atacante depositou apenas 250 SAUCE, enviou uma atualização de preço que inflou artificialmente o preço do token em cerca de 12 ordens de magnitude, e então o endereço emprestou 6,63 milhões de USDC e 34,50 milhões de HBAR encapsulado do pool de empréstimos.

Este ataque não se deveu a uma vulnerabilidade nos contratos inteligentes do Bonzo Finance ou na rede subjacente da Hedera, mas sim a uma falha no validador do oráculo on-chain do provedor de oráculo Supra, que aceitou incorretamente dados de preço SAUCE com uma assinatura zerada. A Supra confirmou o problema e concluiu a correção.

[Odaily Planet Daily]

Perda de cerca de 9 milhões de dólares americanos, o protocolo de empréstimo do ecossistema Hedera Bonzo Finance sofreu um ataque ao oráculo.

Bonzo Lend, o maior protocolo de empréstimos no ecossistema Hedera, anunciou que sofreu perdas de aproximadamente 9,05 milhões de dólares devido à exploração de uma vulnerabilidade em um oracle de preços de terceiros. Após o ataque, os serviços Bonzo Lend e Bonzo Points foram suspensos temporariamente.

De acordo com o relatório sobre o incidente publicado pela Bonzo Finance Labs em coordenação com a Bonzo Finance Foundation, o ataque ocorreu em 11 de julho de 2026, às 00:51 UTC (03:51 UTC+3). O invasor conseguiu tomar emprestado um valor significativamente maior do que o valor real do token SAUCE, utilizando uma pequena quantidade de colateral, ao enviar um preço manipulado de SAUCE para o sistema oracle Supra utilizado pelo Bonzo Lend.

A Bonzo argumentou que a vulnerabilidade de segurança não teve origem em seus próprios contratos inteligentes nem no design de seu protocolo de empréstimos. A empresa afirmou que o problema residia no mecanismo de verificação de assinaturas do oracle de preços *on-chain* de terceiros utilizado pelo Bonzo Lend.

Segundo o relatório, a primeira conta usada pelo invasor enviou um preço manipulado de SAUCE em HBAR para o contrato de atualização sob demanda de preços do oracle na rede principal (mainnet) da Hedera. Embora o preço de mercado real do SAUCE seja de aproximadamente 0,2 HBAR, o valor enviado pelo invasor foi exibido como cerca de 12 casas decimais superior ao preço real.

Apenas oito segundos após o preço manipulado ser registrado *on-chain*, o invasor utilizou uma pequena quantidade de investimento em SAUCE como colateral. Devido aos dados do oracle, o protocolo calculou o valor desse colateral como excepcionalmente alto, resultando em empréstimos de ativos muito superiores ao valor real do colateral depositado.

De acordo com a investigação da Bonzo, a atualização de preço manipulada foi aceita porque o validador *on-chain* da Supra confirmou a prova sem uma assinatura válida. A equipe acrescentou que o invasor não forjou uma assinatura válida do oracle e que não houve alteração no preço real de mercado do SAUCE.

O protocolo afirmou que o preço incorreto deveria ter sido rejeitado na camada de validação do oracle antes de chegar ao Bonzo Lend, mas o sistema de validação falhou nessa tarefa.

Revelou-se que uma segunda conta também tomou emprestados ativos adicionais do protocolo enquanto os dados de preço anômalos estavam ativos. A Bonzo informou que essa conta entrou posteriormente em contato com a equipe, identificando-se como um pesquisador de segurança *white-hat* e expressando sua intenção de devolver os fundos. Essa transação está sendo considerada pelo protocolo como parte do processo de recuperação.

Relatou-se que apenas os serviços Bonzo Lend e Bonzo Points foram afetados pelo ataque. Os Bonzo Vaults, Bonzo Bridge e os serviços unidirecionais de *staking* e *unstaking* dos tokens BONZO e XBONZO continuaram operando normalmente. Um gráfico mostrando a queda no preço do BONZO.

O *pool* de empréstimos do Bonzo Lend foi suspenso enquanto prosseguem as análises e os esforços de recuperação. A Bonzo Finance Labs e a Bonzo Finance Foundation anunciaram que estão avaliando as condições sob as quais o protocolo poderá ser reaberto, bem como o processo para que os provedores de liquidez possam retirar seus ativos. A equipe afirmou que detalhes sobre compensação aos usuários, recuperação dos fundos e reativação do protocolo serão divulgados posteriormente em um anúncio separado.

*Isso não constitui recomendação de investimento.*

Hackers Estão Manipulando o Preço de uma Altcoin

A Bonzo perdeu aproximadamente US$ 9 milhões devido a um ataque de oráculo, no qual o atacante manipulou o preço do SAUCE para tomar emprestado uma enorme quantidade de ativos.

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]

Bonzo遭预言机攻击损失约900万美元，攻击者操纵SAUCE价格借出巨额资产

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]