Um único feed de preço manipulado permitiu que um invasor transformasse 250 tokens SAUCE no valor de alguns dólares em US$ 9,05 milhões em USDC emprestados e embrulhasse o HBAR em oito segundos.
Bonzo Lend, um protocolo de empréstimo na rede Hedera, perdeu aproximadamente US$ 9,05 milhões depois que um invasor explorou uma falha de verificação em um contrato de terceiros da Supra Oracle em 11 de julho.
O invasor depositou 250 tokens SAUCE no valor de alguns dólares como garantia e, em seguida, apresentou uma atualização de preço manipulada que inflou o valor denominado HBAR do token, de acordo com um relatório preliminar do incidente publicado por Bonzo. A conta posteriormente tomou emprestado 6,63 milhões de USDC e 34,52 milhões de HBAR embrulhados, no valor de aproximadamente US$ 9,05 milhões ao preço de referência do relatório HBAR.
Preço falso, saída rápida
Uma segunda carteira pegou emprestado cerca de US$ 1 milhão a mais enquanto o preço anormal persistia, depois contatou Bonzo por meio do Discord, identificou-se como um respondente de chapéu branco e disse que devolveria os fundos. Isso colocou o total de empréstimos anormais em cerca de US$ 10,06 milhões antes do retorno.
A própria conta X de Bonzo disse que o protocolo de empréstimo foi temporariamente pausado enquanto sua equipe investigava mercados voláteis, e mais tarde confirmou que permanece pausado enquanto se aguarda o trabalho de recuperação. A Supra Labs, cujo contrato oracle processou o preço ruim, publicou seu próprio relatório de incidente atribuindo a falha a uma assinatura BLS degenerada e a uma chave pública de valor zero que seu verificador Hedera aceitou erroneamente para um único feed SAUCE/wHBAR, enquanto afirmava que sua agregação principal e outros feeds não foram afetados.
Precipitação do ecossistema
O valor total bloqueado de Hedera caiu quase 40% em 24 horas após a exploração, e o TVL de Bonzo despencou 77% na mesma janela. DefiLlama agora mostra TVL de Bonzo por US$ 3,06 milhões.
O artigo técnico de um pesquisador de segurança disse que mais de US$ 5,25 milhões dos fundos roubados foram transferidos para Ethereum via LayerZero e trocados por ETH em poucas horas.
Fontesthedefiant
