Una firma de oráculo puesta a cero permitió a un atacante drenar unos $9 millones de Bonzo Lend, un mercado de préstamos DeFi en la red Hedera, al engañar al protocolo para que aceptara colateral con un precio incorrecto.
Por qué importa
El fallo estaba en la ruta de firma del oráculo, no en el precio en sí. Al poner a cero parte de la firma que generó, el atacante hizo que el contrato aparentemente aceptara los datos como válidos y permitió al prestatario retirar activos contra un colateral que el sistema no podía valorar de forma fiable. Es la misma familia de errores que ha afectado a los mercados de préstamo EVM durante años, y ahora tiene un análogo documentado en Hedera.
Impacto en el mercado
Las acciones tokenizadas y otros colaterales no nativos son la próxima frontera para los mercados de crédito DeFi, y Bonzo Lend trabajaba en esa dirección. El exploit subraya que el respaldo 1:1 no basta cuando el wrapper, la bóveda y la ruta del oráculo pueden manipularse. Para DeFi en Hedera, que ha estado desarrollando una pila de préstamos pequeña pero activa, el incidente supone un revés de credibilidad justo cuando el interés institucional por la red venía aumentando.
Preguntas frecuentes
-
¿Qué es Bonzo Lend?
Bonzo Lend es un protocolo DeFi de préstamo y endeudamiento en la red Hedera. Permite a los usuarios aportar criptoactivos para obtener rendimiento y pedir préstamos contra colateral depositado, de forma similar a Aave o Compound en otras cadenas.
-
¿Cómo drenó el atacante $9M de Bonzo Lend?
El atacante envió una carga de datos de oráculo con un campo de firma puesto a cero. El contrato inteligente aparentemente trató esa firma malformada pero aceptada como válida y permitió al prestatario tomar préstamos contra un colateral que el protocolo no podía valorar de forma fiable.
-
¿Fue el exploit de Bonzo Lend una manipulación del oráculo de precios?
En parte. El feed de precios no fue manipulado directamente; el atacante eludió el paso de autenticación que demuestra que los datos del oráculo proceden de una fuente fiable. El resultado para el protocolo es similar, pero el vector de ataque es la verificación de firma, no el precio subyacente.
-
¿Afectó el exploit de Bonzo Lend a la propia red Hedera?
No. La capa de consenso de Hedera y el token HBAR siguieron funcionando con normalidad. El daño quedó limitado a los contratos inteligentes de Bonzo Lend y a sus depositantes, expuestos a deuda incobrable por los préstamos infracolateralizados.
-
¿Qué ocurre con los usuarios de Bonzo Lend tras el exploit?
Los usuarios que aportaron liquidez a Bonzo Lend probablemente afronten pérdidas mientras el protocolo gestiona la deuda incobrable, ya sea mediante una votación de gobernanza, una emisión de tokens para cubrir el déficit o pérdidas socializadas entre depositantes. Los planes de recuperación dependen de lo que anuncie…
WuBlockchain
TheBlock
CoinDesk
CoinTelegraph