پروتکل وامدهی Bonzo Lend مبتنی بر هِدرا (Hedera)، پس از اینکه یک مهاجم قیمت SAUCE را که به عنوان وثیقه استفاده میشد، دستکاری کرد، حدود ۹.۰۵ میلیون دلار از دست داد. Bonzo Finance Labs اعلام کرد که این حادثه در تاریخ ۱۱ جولای ۲۰۲۶ آغاز شد، هنگامی که یک کیف پول، قیمت نادرست SAUCE را به قرارداد اوراکل شخص ثالث Supra ارسال کرد. مهاجم ۲۵۰ توکن SAUCE را که تنها چند دلار ارزش داشت، واریز کرد، پیش از آنکه فید (feed)، این توکنها را بسیار باارزش تلقی کند.
هشت ثانیه پس از رسیدن قیمت نادرست به شبکه، کیف پول ۶.۶۳ میلیون USDC و بیش از ۳۴.۵ میلیون HBAR رپشده (wrapped HBAR) قرض گرفت. بونزو ضرر اصلی را "تقریباً ۹.۰۵ میلیون دلار" توصیف کرد. این پروتکل Bonzo Lend را در ساعت ۰۱:۴۱ UTC متوقف کرد و Bonzo Points را نیز در همان صبح متوقف ساخت. Bonzo Vaults، Bonzo Bridge و استیکینگ یکطرفه BONZO به فعالیت خود ادامه دادند.
گزارش حادثه بونزو، این رخداد را به فرآیند تأیید امضای Supra نسبت داد. این بهروزرسانی به جای یک امضای معتبر از کمیته اوراکل Supra، یک امضای صفر شده را حمل میکرد. بونزو گفت که اعتبارسنجی نتوانست ورودیهای با ارزش صفر را قبل از ارسال به قرارداد سیستم جفتسازی هدرا رد کند.
بررسی جفتسازی صحیح برگشت داده شد زیرا هر دو مقدار، نقطه هویت ریاضی را نشان میدادند. قرارداد Supra سپس آن نتیجه را به عنوان اثبات یک امضای معتبر از کمیته در نظر گرفت. بونزو اظهار داشت که "هیچ امضای اوراکل معتبری جعل نشده بود" و قیمت واقعی بازار SAUCE افزایش نیافته بود. طبق گزارش، Supra از آن زمان یک اصلاحیه برای قرارداد اعتبارسنجی آسیبدیده در شبکه اصلی هدرا پیادهسازی کرده است.
بونزو گفت که قراردادهای وامدهی آن، مقدار دستکاری شده را از فید اوراکل تایید شده خوانده و قدرت وامگیری را از آن داده محاسبه کردهاند. تیم اظهار داشت که استخر وامدهی پس از دریافت ورودی نادرست، طبق طراحی عمل کرده است. گزارش آن، هرگونه باگ در قرارداد بونزو، حمله وام آنی (flash-loan attack) و دستکاری عادی بازار را رد کرد.
یک حساب دوم حدود ۱ میلیون دلار قرض گرفت در حالی که قیمت غیرعادی فعال باقی مانده بود. آن کیف پول بعداً با تیم تماس گرفت و خود را به عنوان یک پاسخدهنده کلاه سفید معرفی کرد. او گفت که قصد دارد داراییها را بازگرداند. بونزو آن مبلغ را از رقم ۹.۰۵ میلیون دلار ضرر خود مستثنی کرد زیرا مذاکرات بازیابی همچنان فعال است. گزارش منتشر شده، بازگشت داراییها را تایید نکرده بود.
پیش از آنکه بونزو یافتههای خود را منتشر کند، Crypto.news گزارش داد که محققان امنیتی بیش از ۵.۸ میلیون دلار را که از Hedera به Ethereum منتقل شده بود، ردیابی کردهاند. محققان گفتند که کیف پول داراییها را از طریق LayerZero پل زده و بخشی از داراییها را از بیتکوین رپشده (wrapped Bitcoin) به اتریوم تبدیل کرده است. با ادامه انتقالها، HBAR بیش از ۲% کاهش یافت.
مستندات اوراکل بونزو، فیدهای Supra را برای SAUCE، HBARX، XSAUCE، DOVU، PACK، KARATE، STEAM و HST در برابر HBAR رپشده فهرست میکند. این حادثه بر جفت SAUCE تأثیر گذاشت. بونزو گفت که انتشار قانونی، آن قیمت را در ساعت ۰۱:۳۶ UTC، پنج دقیقه قبل از توقف استخر وامدهی، به حدود ۰.۱۹۶۴ HBAR بازگرداند.
گزارش بعدی بونزو، مبلغ اصلی تایید شده برداشت شده توسط مهاجم اصلی را به حدود ۹.۰۵ میلیون دلار افزایش داد. یک پست Wu Blockchain نیز یافتههای پروتکل را به اشتراک گذاشت. Bonzo Lend همچنان متوقف است در حالی که Bonzo Finance Labs و Bonzo Finance Foundation با شرکا برای بازیابی دارایی، تعمیرات و برنامههای برداشت برای ارائهدهندگان نقدینگی همکاری میکنند. تیم هنوز تاریخی برای بازگشایی استخر وامدهی تعیین نکرده است.
