بر اساس گزارش اولیه حادثه منتشر شده توسط Bonzo، پروتکل وام‌دهی غیرمتمرکز Bonzo Lend در هدرای (HBAR)، اواخر جمعه به وقت شرقی، مورد حمله قرار گرفت و حدود ۹.۰۵ میلیون دلار از دست داد. این حمله پس از آن رخ داد که یک مهاجم از یک آسیب‌پذیری در تأییدکننده اوراکل شخص ثالث Supra سوءاستفاده کرد و قیمت مصنوعی برای توکن SAUCE ارائه داد.

این پروتکل بلافاصله پس از حمله، فعالیت Bonzo Lend را متوقف کرد. برنامه پاداش‌دهی آن نیز متوقف شد، در حالی که صندوق‌ها، پل و محصولات استیکینگ Bonzo تحت تأثیر قرار نگرفتند. هدرای در ایکس (X) اعلام کرد که این حادثه به تأییدکننده اوراکل شخص ثالث محدود بوده و شامل نقص در زیرساخت اصلی شبکه نمی‌شود.

مهاجم حدود ساعت ۸:۴۰ شب جمعه به وقت شرقی، ۲۵۰ توکن SAUCE به ارزش چند دلار را به عنوان وثیقه سپرده‌گذاری کرد، سپس یک به‌روزرسانی قیمت به قرارداد اوراکل درخواستی Supra ارسال کرد که طبق گزارش، ارزش توکن را تقریباً ۱۲ مرتبه بزرگتر از حد واقعی نشان می‌داد. در آن زمان، SAUCE نزدیک به ۰.۲ HBAR معامله می‌شد؛ به‌روزرسانی دستکاری‌شده عددی شامل ۱ و ۳۰ صفر به دنبال آن را نشان می‌داد.

در عرض چند ثانیه پس از ثبت قیمت دستکاری‌شده در بلاکچین در ساعت ۸:۵۱ شب جمعه به وقت شرقی، کیف پول حدود ۶.۶۳ میلیون USDC و ۳۴.۵ میلیون wrapped HBAR را در مقابل سپرده تقریباً بی‌ارزش وام گرفت. Bonzo با استفاده از قیمت مرجع HBAR حدود ۰.۰۷ دلار، مبلغ اصلی استخراج‌شده را تقریباً ۹.۰۵ میلیون دلار ارزش‌گذاری کرد.

به‌روزرسانی قیمت جعلی حاوی یک امضای رمزنگاری‌شده بود که تماماً از صفر تشکیل شده بود. تأییدکننده Supra باید بلافاصله آن را رد می‌کرد، اما به دلیل نقصی در نحوه بررسی امضاها توسط قرارداد، آن را معتبر تلقی کرد.

این امر به مهاجم اجازه داد تا قیمتی را بدون تأیید امضاکنندگان قانونی Supra ارسال کند. به عبارت ساده، مهاجم رمزنگاری Supra را هک نکرد یا کلید امضا را به سرقت نبرد؛ بلکه راهی پیدا کرد تا تأییدکننده را وادار به پذیرش یک به‌روزرسانی آشکارا نامعتبر کند.

Bonzo اعلام کرد که Supra این مشکل را تأیید کرده و یک اصلاحیه برای قرارداد تأییدکننده آسیب‌دیده در شبکه اصلی هدرای مستقر کرده است. تیم Bonzo نوشت: «به دلیل همین اصلاحیه، و توانایی حاصل از آن برای بررسی رفتار قرارداد، ما می‌توانیم این مکانیزم را توضیح دهیم.»

یک کیف پول دوم نیز حدود ۱ میلیون دلار در زمانی که قیمت اشتباه فعال بود، وام گرفت، سپس با تیم تماس گرفت، خود را به عنوان یک واکنش‌دهنده کلاه‌سفید معرفی کرد و گفت قصد دارد وجوه را بازگرداند. Bonzo این مبلغ را از رقم اصلی خود که در غیر این صورت مجموعاً حدود ۱۰.۰۶ میلیون دلار می‌شد، مستثنی کرد.

بازرس درون زنجیره‌ای Specter ابتدا قبل از اینکه Bonzo منبع بهره‌برداری را تأیید کند، جابجایی‌های مشکوک وجوه از هدرای به اتریوم را گزارش داد. به‌روزرسانی اوراکل قانونی، قیمت SAUCE را در ساعت ۹:۳۶ شب جمعه به وقت شرقی بازگرداند و Bonzo پنج دقیقه بعد، استخر وام‌دهی خود را متوقف کرد.

این حادثه سال سنگین حملات سایبری در حوزه رمزارزها را ادامه می‌دهد، به طوری که پروژه‌ها طبق گزارش Immunefi، در نیمه اول سال ۲۰۲۶، در مجموع ۹۷۲ میلیون دلار را در رکورد ۲۰۷ حادثه از دست داده‌اند. همچنین این حادثه با یک تغییر گسترده‌تر به سمت شکست‌های زیرساختی، به خطر افتادن کلیدهای خصوصی و ضعف‌های دسترسی ممتاز خارج از قراردادهای اصلی یک برنامه آسیب‌دیده مطابقت دارد، پویایی که در مورد به خطر افتادن مشکوک کلید Gravity Bridge و بهره‌برداری از تأیید پل Kelp DAO مشاهده شد.