Bonzo Lend втрачає $9M через експлойт в Oracle через фальшивий ціновий , внаслідок чого ціна SAUCE зникає з протоколу

Bonzo Lend, кредитний протокол у мережі Hedera, втратив приблизно 9,05 мільйона доларів 11 липня після того, як зловмисник використав уразливість у сторонньому оракульному верифікаторі Supra. Зловмисник продавив фейкове оновлення ціни для токена SAUCE через верифікатор, надіславши обнулений підпис, який було некоректно валідовано, роздувши ціну SAUCE приблизно на дванадцять порядків величини. Експлойт дав змогу зловмиснику позичати під заставу вартістю лише частки від позик, що були взяті, осушивши кредитні пули протоколу. Hedera підтвердила, що інцидент був ізольований лише до зовнішнього оракульного верифікатора і не скомпрометував консенсус мережі чи базові сервіси. Supra визнала проблему з верифікацією та розгорнула виправлення для відповідного контракту в Hedera mainnet.

Зловмисник експлуатує оракульний верифікатор Supra 11 липня

Атака почалася приблизно о 00:51 UTC 11 липня, згідно з інцидентним звітом Bonzo. Гаманець, позначений командою як Wallet A, надіслав оновлення ціни, підписане обнуленим підписом, який верифікатор Supra прийняв як дійсний. Оновлення встановило ціну SAUCE на один з тридцятьма нулями — проти фактичної ринкової ціни близько 0,2 HBAR, роздувши вартість токена приблизно на дванадцять порядків величини. За умови такої оцінки застави SAUCE гаманець осушив кредитні пули протоколу.

Обнулений підпис обійшов процес верифікації

Звіт Bonzo простежує, де саме сталася помилка в тому, як верифікатор Supra перевіряє підписи. «Мемплекс (pairing) precompile запитали, чи виконується певне рівняння, і він правильно відповів “так”. Далі верифікатор Supra сприйняв це “так” як доказ дійсного підпису комітету, хоча цього ніколи не було», — йдеться у звіті. Команда підкреслила, що її власні контракти оцінюють заставу й обчислюють місткість для позики точно так, як було закладено: «Ні в який момент контракти Bonzo Lend не збоїли». Hedera підтримала цей висновок, заявивши, що проблема сталася вище за ланцюжком — на рівні оракула, і що консенсус мережі та базові сервіси не були скомпрометовані.

Гаманець у стилі white-hat зобов’язується повернути 1 мільйон доларів

Другий гаманець використав ту ж саму вразливість і отримав близько 1 мільйона доларів. Згодом цей гаманець зв’язався з командою, ідентифікував себе як white-hat респондер та пообіцяв повернути кошти, повідомив Bonzo. Команда виключає цю суму з фігури загальних збитків у заголовку.

Bonzo призупинила продукти через падіння TVL на 78 відсотків

Bonzo призупинила свої продукти Lend і Points після експлойту, тоді як Vaults, Bridge та продукти зі staking продовжують працювати. Загальна вартість, заблокована в протоколі, впала з приблизно 14,3 мільйона доларів 10 липня до приблизно 3,2 мільйона доларів до 12 липня — падіння приблизно на 78 відсотків — за даними DefiLlama. Команда заявила, що координує з white-hat респондером повернення коштів і опрацьовує умови для зняття призупинення та повторного відкриття виведення для постачальників ліквідності. Supra розгорнула виправлення для відповідного контракту в Hedera mainnet і працює з дослідниками з безпеки над аналізом атаки.

FAQ

Що спричинило експлойт Bonzo Lend 11 липня?
Експлойт стався тоді, коли зловмисник надіслав оновлення ціни для токена SAUCE з обнуленим підписом, який сторонній оракульний верифікатор Supra некоректно прийняв як дійсний. Це дозволило зловмиснику роздути ціну SAUCE приблизно на дванадцять порядків величини та позичити приблизно 9,05 мільйона доларів під заставу вартістю лише частки від позик, що були взяті.

Як Hedera та Supra відреагували на оракульний експлойт?
Hedera підтвердила, що інцидент був ізольований лише до зовнішнього оракульного верифікатора, і заявила, що консенсус мережі та базові сервіси не були скомпрометовані. Supra визнала проблему з верифікацією та розгорнула виправлення для відповідного контракту в Hedera mainnet, а також працює з дослідниками з безпеки над аналізом атаки.

Що сталося із загальною вартістю, заблокованою (TVL) у Bonzo Lend після експлойту?
Загальна вартість, заблокована в Bonzo Lend, впала з приблизно 14,3 мільйона доларів 10 липня до приблизно 3,2 мільйона доларів до 12 липня — падіння приблизно на 78 відсотків за даними DefiLlama. Протокол призупинив свої продукти Lend і Points, тоді як Vaults, Bridge та продукти зі staking продовжують працювати.