Giao thức cho vay Hedera Bonzo Lend bị tấn công 9 triệu đô la sau khi trình xác thực Supra chấp nhận cập nhật giá bị thao túng

Bonzo Lend, một giao thức cho vay phi tập trung trên Hedera ($HBAR), đã bị tấn công vào cuối thứ Sáu giờ ET với thiệt hại khoảng 9,05 triệu USD sau khi một kẻ tấn công khai thác lỗ hổng trong bộ xác minh oracle bên thứ ba $Supra và gửi giá giả cho token SAUCE, theo báo cáo sơ bộ về sự cố do Bonzo công bố.

Giao thức đã tạm dừng hoạt động của Bonzo Lend ngay sau vụ tấn công. Chương trình điểm thưởng của nó cũng bị đình chỉ, trong khi các kho lưu trữ (vaults), cầu nối (bridge) và sản phẩm staking của Bonzo không bị ảnh hưởng. Hedera cho biết trên X rằng sự cố chỉ giới hạn ở bộ xác minh oracle bên thứ ba và không liên quan đến bất kỳ lỗi nào trong cơ sở hạ tầng cốt lõi của mạng.

Kẻ tấn công đã ký gửi 250 token SAUCE — trị giá chỉ vài đô la — làm tài sản thế chấp vào khoảng 20:40 giờ ET thứ Sáu, sau đó gửi một bản cập nhật giá lên hợp đồng oracle theo yêu cầu (on-demand) của $Supra, trong đó đánh giá sai giá trị token này cao hơn khoảng 12 bậc độ lớn (12 orders of magnitude), theo báo cáo. Lúc đó, SAUCE đang giao dịch quanh mức 0,2 $HBAR; còn bản cập nhật bị thao túng lại đưa ra con số “1” theo sau bởi 30 chữ số 0.

Chỉ trong vài giây kể từ khi giá giả được ghi nhận trên chuỗi vào lúc 20:51 giờ ET, ví này đã vay khoảng 6,63 triệu $USDC và 34,5 triệu $HBAR được bao bọc (wrapped $HBAR) dựa trên khoản ký gửi gần như vô giá trị nói trên. Bonzo định giá tổng số tiền gốc bị rút ra ở mức khoảng 9,05 triệu USD, sử dụng giá tham chiếu $HBAR là khoảng 0,07 USD.

Bản cập nhật giá giả mang chữ ký mật mã gồm toàn bộ chữ số 0. Bộ xác minh của $Supra lẽ ra phải từ chối ngay lập tức chữ ký này, nhưng thay vào đó lại coi nó là hợp lệ do một lỗi trong cách hợp đồng kiểm tra chữ ký.

Điều này cho phép kẻ tấn công gửi một giá mà không cần sự phê duyệt từ những người ký chính thống của Supra. Nói một cách đơn giản, kẻ tấn công không bẻ khóa mật mã của $Supra hay đánh cắp khóa ký; thay vào đó, chúng tìm ra cách khiến bộ xác minh chấp nhận một bản cập nhật rõ ràng là không hợp lệ.

Bonzo cho biết $Supra đã thừa nhận vấn đề và triển khai bản vá cho hợp đồng bộ xác minh bị ảnh hưởng trên mạng chính Hedera (Hedera mainnet). “Chính nhờ bản vá này, cùng khả năng kiểm tra hành vi của hợp đồng sau đó, nên chúng tôi mới có thể mô tả rõ cơ chế gây ra sự cố”, đội ngũ Bonzo viết.

Một ví thứ hai đã vay khoảng 1 triệu USD trong thời gian giá sai còn hiệu lực, sau đó liên hệ với đội ngũ Bonzo, tự xác định mình là người phản ứng đạo đức (white-hat responder) và thông báo ý định hoàn trả số tiền đã vay. Bonzo đã loại khoản tiền này ra khỏi con số nổi bật trong báo cáo — nếu không, tổng thiệt hại sẽ lên tới khoảng 10,06 triệu USD.

Nhà điều tra chuỗi (onchain investigator) Specter là người đầu tiên phát hiện các luồng chuyển tiền đáng ngờ từ Hedera sang Ethereum trước khi Bonzo xác nhận nguồn gốc của vụ khai thác. Giá SAUCE đã được khôi phục trở lại bình thường bởi bản cập nhật oracle hợp pháp vào lúc 21:36 giờ ET thứ Sáu, và Bonzo tạm dừng hồ chứa cho vay (lending pool) của mình năm phút sau đó.

Sự việc này tiếp tục một năm đầy biến động đối với các vụ khai thác trong lĩnh vực tiền mã hóa, khi các dự án đã mất khoảng 972 triệu USD qua 207 sự cố — mức kỷ lục — trong nửa đầu năm 2026, theo dữ liệu từ Immunefi. Sự việc cũng phù hợp với xu hướng chung hơn về các sự cố liên quan đến cơ sở hạ tầng, việc lộ khóa riêng (private-key compromises) và các điểm yếu trong quyền truy cập đặc quyền nằm ngoài các hợp đồng cốt lõi của ứng dụng bị ảnh hưởng — một xu hướng từng xuất hiện trong vụ nghi ngờ lộ khóa cầu nối Gravity Bridge và vụ khai thác cơ chế xác minh cầu nối của Kelp DAO.

Tuyên bố miễn trừ trách nhiệm: The Block là một cơ quan truyền thông độc lập cung cấp tin tức, nghiên cứu và dữ liệu. Tính đến tháng 11 năm 2023, Foresight Ventures là nhà đầu tư nắm đa số cổ phần tại The Block. Foresight Ventures cũng đầu tư vào các công ty khác trong lĩnh vực tiền mã hóa. Sàn giao dịch tiền mã hóa Bitget là nhà đầu tư LP chủ chốt (anchor LP) của Foresight Ventures. The Block tiếp tục vận hành độc lập nhằm cung cấp thông tin khách quan, có tác động mạnh mẽ và kịp thời về ngành công nghiệp tiền mã hóa. Dưới đây là các công bố tài chính hiện tại của chúng tôi.

© 2026 The Block. Bảo lưu mọi quyền. Bài viết này chỉ nhằm mục đích cung cấp thông tin. Bài viết không được đưa ra hoặc có ý định sử dụng như lời khuyên pháp lý, thuế, đầu tư, tài chính hoặc các lời khuyên khác.