Bonzo Lend теряет $9M из-за атаки через уязвимость в оракуле, фальшивый SAUCE обвалил цену и опустошил протокол

Bonzo Lend, кредитный протокол в сети Hedera, потерял примерно 9,05 миллиона долларов 11 июля после того, как злоумышленник использовал уязвимость в Supra — стороннем верификаторе оракула. Атакующий отправил фальшивое обновление цены для токена SAUCE через верификатор, предоставив обнулённую подпись, которая была ошибочно признана валидной, что привело к раздуванию цены SAUCE примерно на двенадцать порядков. Эксплойт позволил злоумышленнику брать займы под залог, стоимость которых составляла лишь малую часть от суммы взятых кредитов, опустошая кредитные пулы протокола. Hedera подтвердила, что инцидент был изолирован только на уровне внешнего верификатора оракула и не скомпрометировал консенсус сети или базовые сервисы. Supra признала проблему с верификацией и развернула исправление для затронутого контракта в сети Hedera mainnet.

Злоумышленник эксплуатировал верификатор оракула Supra 11 июля

Атака началась примерно в 00:51 UTC 11 июля, согласно отчёту о инциденте Bonzo. Кошелёк, помеченный командой как Wallet A, отправил обновление цены, подписанное обнулённой подписью, которое верификатор Supra принял как действительное. Обновление установило цену SAUCE как единицу, за которой следуют тридцать нулей, при фактической рыночной цене около 0,2 HBAR, что привело к раздуванию стоимости токена примерно на двенадцать порядков. При такой оценке залога кошелёк обнулить кредитные пулы протокола.

Обнулённая подпись обошла процесс верификации

В отчёте Bonzo показано, как произошёл сбой — в том, как верификатор Supra проверял подписи. «Препарирование precompile было запрошено, чтобы определить, выполняется ли конкретное уравнение, и он корректно ответил “да”. Затем верификатор Supra принял это “да” как доказательство валидной подписи комитета, хотя это никогда не было так», — говорится в отчёте. Команда подчеркнула, что её собственные контракты оценивали залог и вычисляли заёмную способность строго так, как было запрограммировано: «Ни в какой момент контракты Bonzo Lend не работали со сбоями». Hedera поддержала эту версию, заявив, что сбой произошёл выше по цепочке — в оракульном слое, и что консенсус сети и базовые сервисы не были скомпрометированы.

Кошелёк-«белая шляпа» пообещал вернуть 1 миллион долларов

Второй кошелёк вывел около 1 миллиона долларов, используя тот же уязвимый механизм. По словам Bonzo, с тех пор этот кошелёк связался с командой, представился как ответчик в роли white-hat и пообещал вернуть средства. Команда исключает эту сумму из итоговой цифры главных потерь.

Bonzo приостановила продукты после падения TVL на 78 процентов

После эксплойта Bonzo приостановила свои продукты Lend и Points, в то время как Vaults, Bridge и продукты стейкинга продолжают работать. Общая заблокированная стоимость в протоколе снизилась примерно с 14,3 миллиона долларов 10 июля до примерно 3,2 миллиона долларов к 12 июля — падение примерно на 78 процентов — по данным DefiLlama. Команда сообщила, что координирует возврат средств с ответчиком white-hat и прорабатывает условия для снятия паузы и повторного открытия выводов для поставщиков ликвидности. Supra развернула исправление для затронутого контракта в сети Hedera mainnet и работает с исследователями безопасности, чтобы проанализировать атаку.

FAQ

Что стало причиной эксплойта Bonzo Lend 11 июля?
Эксплойт произошёл, когда злоумышленник отправил обновление цены для токена SAUCE с обнулённой подписью, которую верификатор стороннего оракула Supra ошибочно принял как валидную. Это позволило злоумышленнику раздувать цену SAUCE примерно на двенадцать порядков и заимствовать около 9,05 миллиона долларов под залог, стоимость которого составляла лишь малую часть от суммы взятых кредитов.

Как Hedera и Supra ответили на эксплойт оракула?
Hedera подтвердила, что инцидент был изолирован только во внешнем верификаторе оракула, и заявила, что консенсус сети и базовые сервисы не были скомпрометированы. Supra признала проблему с верификацией и развернула исправление для затронутого контракта в сети Hedera mainnet, а также работает с исследователями безопасности для анализа атаки.

Что произошло с общей заблокированной стоимостью Bonzo Lend после эксплойта?
Общая заблокированная стоимость в Bonzo Lend снизилась примерно с 14,3 миллиона долларов 10 июля до примерно 3,2 миллиона долларов к 12 июля — падение примерно на 78 процентов по данным DefiLlama. Протокол приостановил продукты Lend и Points, в то время как Vaults, Bridge и продукты стейкинга продолжают функционировать.