Bonzo Lend, un protocole de prêt décentralisé sur le réseau Hedera, a perdu environ 9,05 millions de dollars après qu’un attaquant a exploité une faille de vérification dans un contrat d’oracle Supra tiers, empruntant des actifs dont la valeur dépassait largement celle du collatéral déposé. L’attaquant a déposé 250 tokens SAUCE d’une valeur négligeable et soumis une mise à jour de prix manipulée qui a gonflé leur valeur libellée en HBAR, selon un rapport d’incident préliminaire de Bonzo.
Le protocole a indiqué que le compte avait ensuite emprunté 6,63 millions d’USDC et 34,52 millions de HBAR wrapped. Au prix de référence du HBAR retenu dans le rapport, soit 0,06998 dollar, les deux retraits valaient environ 9,05 millions de dollars. Un second wallet a emprunté 1 million de dollars d’actifs supplémentaires pendant que le prix anormal restait actif, puis a contacté Bonzo via Discord en se présentant comme un intervenant white-hat et en affirmant vouloir restituer les fonds. Bonzo a exclu ces actifs de son estimation principale de perte, évaluant le principal total emprunté pendant l’incident à environ 10,06 millions de dollars avant récupération.
Pourquoi c’est important
La brèche se situe dans la couche de vérification des prix de l’oracle, et non dans la logique de prêt elle-même. Un flux manipulé a été accepté comme faisant autorité, la même catégorie de défaillance qui avait effacé environ 400 millions de dollars chez Mango Markets en 2022 et déclenché les post-mortems de novembre 2023 sur plusieurs marchés de prêt. Le cas de Bonzo reste limité en valeur absolue, mais le schéma compte : les oracles demeurent la dépendance la plus concentrée du prêt DeFi, et une seule faille de vérification peut transformer un collatéral dérisoire en emprunts à huit chiffres dans une seule transaction.
L’incident concentre aussi le risque au sein de l’écosystème Hedera. DeFiLlama montre que la valeur totale verrouillée de Hedera a chuté de près de 40 % en 24 heures, à 25,7 millions de dollars, tandis que la TVL de Bonzo a reculé de 77 %. Sur un réseau de cette taille, une seule exploitation suffit à redéfinir tout le secteur.
Impact sur le marché
Le prix de référence du HBAR dans le rapport de Bonzo, 0,06998 dollar, est pour l’instant le seul point d’ancrage stable. La combinaison d’actifs drainés, USDC plus HBAR wrapped, suggère que l’attaquant visait à la fois la liquidité stable et la liquidité native.
Questions fréquemment posées
-
Comment l’exploitation de Bonzo Lend a-t-elle fonctionné ?
L’attaquant a déposé 250 tokens SAUCE de faible valeur et soumis une mise à jour de prix manipulée qui a franchi une faille de vérification dans un contrat d’oracle Supra tiers, lui permettant d’emprunter des actifs dépassant largement le collatéral déposé.
-
Combien Bonzo Lend a-t-il perdu dans l’exploitation de l’oracle ?
Le rapport préliminaire de Bonzo évalue la perte principale à environ 9,05 millions de dollars en 6,63 M USDC et 34,52 M de HBAR wrapped. Un second wallet a emprunté 1 M$ supplémentaire pendant que le mauvais prix restait actif, portant le principal total emprunté à environ 10,06 M$ avant récupération.
-
Qu’est-il arrivé à la valeur totale verrouillée de Hedera après l’exploitation ?
Les données de DeFiLlama montrent que la TVL de Hedera a chuté de près de 40 % en 24 heures, à 25,7 millions de dollars. La TVL de Bonzo a reculé de 77 %, reflet de la concentration de la liquidité DeFi du réseau autour d’un seul protocole.
-
L’exploitation de Bonzo Lend venait-elle de l’oracle Supra ou d’un bug de Bonzo ?
Le rapport d’incident préliminaire de Bonzo pointe une faille de vérification dans le contrat d’oracle Supra tiers, et non dans la logique de prêt de Bonzo. Le flux a accepté une mise à jour de prix manipulée comme faisant autorité, la même catégorie de défaillance qui a déjà touché d’autres marchés de prêt.
-
Les fonds de l’exploitation de Bonzo ont-ils été récupérés ?
Un second wallet ayant emprunté environ 1 M$ pendant l’incident a contacté Bonzo via Discord en affirmant être un intervenant white-hat et vouloir restituer les fonds. Bonzo a exclu ces actifs de son estimation principale de perte dans l’attente d’une récupération effective.
WuBlockchain
TheBlock
CryptoSlate
Crypto Rank News
Lookonchain