Hedera : le TVL de Bonzo Finance plonge de 77 % après un exploit d'oracle à 9 M$

Bonzo Finance, un protocole de prêt sur le réseau Hedera, a vu sa valeur totale verrouillée (TVL) s'effondrer de 77 % après une attaque ayant siphonné environ 9,05 M$. D'après CoinDesk, l'incident illustre les risques en chaîne auxquels s'exposent les applications DeFi lorsqu'elles s'appuient sur des flux de prix externes sans garde-fous suffisants. Le problème ne provenait pas des contrats de Bonzo eux-mêmes, mais d'une intégration de l'oracle Supra. Ce point est central : les protocoles peuvent auditer intensivement leur code interne, mais la surface d'attaque inclut aussi les briques d'infrastructure tierces. Ici, une routine de vérification défaillante dans un contrat d'oracle a suffi à vider une grande partie de la liquidité. L'attaquant a agi rapidement et, lorsque l'anomalie a été détectée, l'essentiel des pertes était déjà acté. Selon les informations disponibles, l'attaquant a manipulé la logique de l'oracle de prix afin d'emprunter des actifs sur la base de garanties artificiellement surévaluées. Le contrat Supra ne validant pas correctement les données entrantes, des prix falsifiés ont pu être présentés et acceptés par le mécanisme de prêt de Bonzo, qui s'en remettait entièrement à ces valeurs pour calculer les ratios prêt/valeur (loan-to-value). Une fois cette confiance rompue, la solvabilité du protocole s'est évaporée. Les attaques visant les oracles ne sont pas nouvelles en DeFi et touchent depuis des années des protocoles sur de nombreuses chaînes. L'impact est particulièrement sensible pour Hedera, car Bonzo s'était imposé comme l'un des principaux marchés de prêt du réseau. La chute de 77 % du TVL implique des millions de dollars de liquidité retirée, des positions immobilisées et un choc de confiance quant à la capacité de l'écosystème à résister à des attaques. Hedera cherche à développer sa présence dans la DeFi, mettant en avant un débit élevé et des frais fixes faibles. Le réseau reste toutefois un acteur de taille modeste face à Ethereum ou BNB Chain. Dans les classements d'activité des développeurs, Ethereum, BNB Chain et Polygon conservent une avance nette, ce qui laisse aux réseaux comme Hedera une marge d'erreur plus réduite : un exploit médiatisé peut effacer des mois d'acquisition d'utilisateurs. Pour les acteurs institutionnels et les fournisseurs de liquidité qui exploraient prudemment la DeFi sur Hedera, l'affaire Bonzo introduit une nouvelle prime de risque. Elle relance aussi la question de la dépendance des protocoles de prêt du réseau à un nombre limité de fournisseurs d'oracles. Le rôle de Supra devrait attirer l'attention sur le paysage des oracles au sein des registres permissionnés ou quasi permissionnés. L'épisode souligne une réalité persistante : la manipulation d'oracles reste l'un des principaux vecteurs d'attaque en finance décentralisée, car elle exploite l'écart entre données hors chaîne et exécution on-chain. Des parades existent (multiplication des sources, prix moyens pondérés dans le temps, coupe-circuits), mais elles ajoutent complexité et coûts. Les protocoles plus petits arbitrent souvent entre simplicité et sécurité, et les chaînes émergentes ne disposent pas toujours d'infrastructures suffisamment profondes pour offrir des alternatives robustes. La récupération des fonds pour les utilisateurs de Bonzo demeure incertaine. Si certains précédents ont abouti à des restitutions partielles via négociations ou primes de type white hat, aucune solution immédiate n'a été confirmée. L'équipe devra évaluer la faisabilité d'un plan d'indemnisation et revoir l'architecture de l'intégration oracle. Côté communauté Hedera, les prochaines semaines diront si la liquidité revient ou migre vers d'autres écosystèmes. La leçon, elle, est nette : à mesure que la DeFi s'étend à de nouvelles chaînes, les vulnérabilités historiques l'accompagnent. Sans priorité donnée dès le départ à la sécurité des oracles, d'autres protocoles risquent de voir leurs pools de liquidité se vider en quelques minutes.