Что произошло
Вечером 11 июля 2026 года крупнейший кредитный протокол сети Hedera, Bonzo Lend, потерял $9,05 млн из-за манипуляции ценовым фидом стороннего оракула Supra. Атакующий внёс в качестве залога 250 токенов SAUCE стоимостью в несколько долларов, затем провёл через оракул поддельное обновление цены — и за 8 секунд занял 6,63 млн USDC и 34,52 млн wrapped HBAR (wHBAR), сообщает The Defiant. Bonzo Lend и программа Bonzo Points сразу поставлены на паузу.
Детали
Проблема была не в коде Bonzo, а в верификаторе Supra: он принял вырожденную BLS-подпись с обнулённым публичным ключом как валидную, что позволило записать в блокчейн заведомо ложную цену SAUCE — завышенную примерно на 12 порядков (The Defiant, CoinDesk). Именно эта фиктивная цена превратила скромный залог в основание для многомиллионного займа.
По данным CoinDesk, после атаки TVL самого Bonzo Lend рухнул на 77% за 24 часа (до около $3 млн), а совокупный TVL DeFi-экосистемы Hedera снизился примерно на 40% за тот же период. Более $5,25 млн атакующий уже перевёл через мост LayerZero в Ethereum и обменял на ETH.
Отдельно от основной суммы, второй кошелёк занял ещё около $1 млн, но его владелец связался с командой Bonzo через Discord, назвался white hat-исследователем и заявил о намерении вернуть средства (The Block, CoinDesk) — эту сумму Bonzo не включает в итоговую оценку ущерба. Vaults, Bridge и стейкинг BONZO/XBONZO атака не затронула. Supra уже выпустила патч для уязвимого верификатора. В комментарии The Block команда Bonzo подчеркнула, что атакующий не взломал криптографию и не украл ключ подписи — он нашёл способ заставить верификатор принять заведомо невалидное обновление.
Что это значит
Кого касается: пользователей Bonzo Lend и вкладчиков DeFi-протоколов Hedera в целом — обвал TVL экосистемы почти на 40% бьёт по ликвидности и доверию ко всем локальным лендинговым площадкам, не только к Bonzo. Держателей SAUCE и wHBAR это касается напрямую: именно эти активы использовались в манипуляции.
Риск с цифрой: протокол уже потерял $9,05 млн (плюс до $1 млн под вопросом возврата от white hat), а его TVL сжался в 4+ раза за сутки — это резкий навес недоверия, из-за которого новые депозиты в Bonzo и смежные протоколы Hedera в ближайшее время маловероятны. Уязвимость лежала не в самом Bonzo, а в стороннем оракуле Supra, которым пользуются и другие проекты — это системный риск для любого протокола, полагающегося на тот же фид.
Горизонт: Bonzo Lend и Points остаются на паузе прямо сейчас, возобновление зависит от аудита после патча Supra и результата переговоров с white hat-кошельком; заметного восстановления TVL экосистемы Hedera стоит ждать не раньше, чем протокол снимет паузу и подтвердит устранение уязвимости.
Контекст
Это уже не первый случай, когда DeFi-протокол страдает не из-за собственного кода, а из-за стороннего оракула — механика похожа на классические манипуляции price feed, только здесь подвела не экономика (флэш-займы), а сам процесс верификации подписи. Инцидент — очередное напоминание, что аудит смарт-контракта протокола ничего не говорит о безопасности зависимостей, которые он подключает.
