O protocolo Bonzo Lend, da rede Hedera, perdeu cerca de US$ 9,05 milhões (aprox. R$ 52,5 mi) no sábado (11) após um ataque que explorou uma falha no oráculo de preços. O invasor depositou apenas 250 SAUCE e, com o preço do ativo adulterado dentro do sistema, conseguiu tomar empréstimos muito acima dessa garantia.
O que aconteceu: segundo o relatório preliminar da Bonzo Finance Labs, o atacante enviou uma atualização de preço fraudulenta ao oráculo que alimenta o protocolo. Oráculo é o serviço que leva dados externos, como cotações, para dentro da blockchain. O valor do SAUCE, que girava em torno de 0,2 HBAR, foi inflado no sistema em cerca de 12 ordens de grandeza e passou a aparecer como 1 seguido de 30 zeros.
Com a garantia supervalorizada, a carteira tomou emprestados 6,63 milhões de USDC e 34,5 milhões de WHBAR do pool de liquidez. USDC é uma stablecoin pareada ao dólar, enquanto WHBAR é a versão encapsulada do HBAR, token nativo da Hedera. De acordo com a equipe, o primeiro empréstimo saiu apenas oito segundos depois de o preço manipulado ser registrado. O Bonzo Lend e o programa de pontos foram pausados, mas cofres, bridge e staking (bloqueio de cripto para participar da rede e receber recompensas) não foram afetados.
Por que importa: a equipe atribuiu o incidente a uma falha no verificador onchain da Supra, fornecedora do oráculo usado pelo protocolo. O sistema aceitou uma atualização com assinatura zerada, algo que deveria ser recusado automaticamente. A Supra reconheceu o problema e corrigiu o contrato afetado na rede principal da Hedera. A Bonzo Finance Labs disse que não houve vulnerabilidade nos contratos do protocolo nem na própria Hedera, e que o preço real do SAUCE no mercado não se moveu durante o ataque. Também não houve uso de flash loan (empréstimo relâmpago feito e quitado na mesma transação).
Uma segunda carteira tomou cerca de (aprox. ) enquanto o preço distorcido ainda estava ativo, mas procurou a equipe, se identificou como white hat (hacker que age de boa fé) e afirmou que devolverá os fundos. Por isso, esse valor ficou fora do prejuízo principal.
