Протокол кредитования Hedera Bonzo Lend был взломан на 9 миллионов долларов после того, как верификатор Supra принял обновленную информацию о манипулировании ценами

Децентрализованный кредитный протокол Bonzo Lend на сети Hedera ($HBAR) подвергся атаке примерно на $9,05 млн в пятницу вечером по восточному времени (ET), после того как злоумышленник воспользовался уязвимостью в стороннем верификаторе оракула $Supra и отправил искусственную цену токена SAUCE, согласно предварительному отчёту об инциденте, опубликованному Bonzo.

Протокол приостановил работу Bonzo Lend сразу после атаки. Его программа начисления баллов также была приостановлена, тогда как хранилища (vaults), мост (bridge) и продукты стейкинга Bonzo остались нетронутыми. Hedera заявила в X, что инцидент ограничился сторонним верификатором оракула и не затрагивал уязвимостей в основной инфраструктуре сети.

Злоумышленник заложил 250 токенов SAUCE — стоимостью всего несколько долларов — в качестве обеспечения примерно в 20:40 по ET в пятницу, после чего отправил обновление цены в контракт оракула $Supra по запросу (on-demand oracle contract), завысив стоимость токена примерно на 12 порядков. Согласно отчёту, на тот момент SAUCE торговался около 0,2 $HBAR; манипулированное обновление содержало значение «1» с 30 нулями после неё.

В течение нескольких секунд после того, как манипулированная цена попала в блокчейн в 20:51 по ET, кошелёк взял в долг примерно 6,63 млн $USDC и 34,5 млн обёрнутых $HBAR (wrapped $HBAR) под почти бесполезный залог. Bonzo оценила извлечённый основной долг в приблизительно $9,05 млн, используя справочную цену $HBAR в размере около $0,07.

Фальшивое обновление цены содержало криптографическую подпись, состоящую исключительно из нулей. Верификатор $Supra должен был немедленно отклонить такую подпись, однако из-за ошибки в логике проверки подписей контрактом он принял её за действительную.

Это позволило злоумышленнику отправить цену без одобрения законных подписчиков Supra. Проще говоря, злоумышленник не взломал криптографию $Supra и не похитил ключ для подписи; скорее, он нашёл способ заставить верификатор принять явно недействительное обновление.

Bonzo сообщила, что $Supra признала проблему и развернула исправление в затронутом контракте верификатора на основной сети Hedera. «Именно благодаря этому исправлению и возможности проанализировать поведение контракта мы можем описать механизм атаки», — написала команда Bonzo.

Второй кошелёк взял в долг около $1 млн, пока фальшивая цена оставалась активной, после чего связался с командой Bonzo, представился «белым шляпой» (white-hat responder) и сообщил о намерении вернуть средства. Bonzo исключила эту сумму из итоговой цифры, которая в противном случае составила бы примерно $10,06 млн.

Исследователь в блокчейне Specter первым обратил внимание на подозрительные перемещения средств с Hedera на Ethereum до того, как Bonzo подтвердила источник эксплуатации. Законное обновление оракула восстановило цену SAUCE в 21:36 по ET в пятницу, а Bonzo приостановила свой кредитный пул спустя пять минут.

Этот инцидент продолжает тяжёлый год для криптоиндустрии в части эксплуатаций: по данным Immunefi, в первой половине 2026 года проекты потеряли примерно $972 млн в рамках рекордных 207 инцидентов. Также он соответствует более широкому тренду — росту сбоев в инфраструктуре, компрометации приватных ключей и слабостей в механизмах привилегированного доступа вне основных контрактов затронутого приложения. Такие динамики наблюдались, например, при предполагаемой компрометации ключей Gravity Bridge и эксплуатации уязвимости проверки моста (bridge-verification exploit) в Kelp DAO.

Отказ от ответственности: The Block — независимый медиа-ресурс, предоставляющий новости, исследования и данные. По состоянию на ноябрь 2023 года Foresight Ventures является крупнейшим инвестором The Block. Foresight Ventures инвестирует и в другие компании в сфере криптовалют. Криптобиржа Bitget выступает в качестве ключевого LP (limited partner) для Foresight Ventures. The Block сохраняет полную независимость в работе и продолжает предоставлять объективную, значимую и своевременную информацию об индустрии криптовалют. Подробнее о наших текущих финансовых раскрытиях можно узнать здесь.

© 2026 The Block. Все права защищены. Данная статья предназначена исключительно в информационных целях. Она не представляет собой юридическую, налоговую, инвестиционную, финансовую или иную профессиональную консультацию.