TVL Bonzo Finance на Hedera обвалився на 77% після оракл-експлойту на $9 млн

Bonzo Finance, кредитний протокол у мережі Hedera, зафіксував падіння загальної заблокованої вартості (TVL) на 77% після атаки, що дозволила зловмиснику вивести близько $9,05 млн. Про інцидент повідомив CoinDesk. Ситуація підкреслює системний ризик для DeFi-проєктів, які покладаються на зовнішні цінові фіди без достатніх запобіжників. Ключова деталь: вразливість була не в смартконтрактах Bonzo, а в інтеграції з ораклом Supra. Для DeFi це критично, адже навіть за ретельних аудитів внутрішнього коду поверхня атаки охоплює всю підключену інфраструктуру. Помилка у процедурі верифікації даних в оракл-контракті виявилася достатньою, щоб практично повністю спустошити ліквідність протоколу. Атаку здійснили швидко, і на момент виявлення наслідки вже були незворотними. Як випливає з доступних деталей, атакувальник маніпулював логікою прайс-оракла, оформлюючи позики під заставу з завищеною оцінкою. Через те, що контракт Supra некоректно перевіряв вхідні дані, зловмисник зміг підставити фальшиві ціни, яким кредитна логіка Bonzo довіряла без додаткових перевірок. Саме на цій довірі будувалися розрахунки loantovalue; коли механізм зламали, платоспроможність протоколу фактично зникла. Експлойти ораклів давно є одним із найпоширеніших сценаріїв атак у DeFi й траплялися на різних блокчейнах роками. Для Hedera цей випадок особливо болючий, оскільки Bonzo встиг стати одним із найбільших ринків кредитування в мережі. Падіння TVL на 77% означає мільйони доларів вилученої ліквідності, "застряглі" позиції та різке погіршення довіри до здатності екосистеми витримувати ворожі сценарії. Hedera поступово нарощувала DeFi-напрям, залучаючи проєкти завдяки високій пропускній здатності та стабільно низьким комісіям. Водночас мережа залишається відносно невеликим гравцем порівняно з Ethereum або BNB Chain. На тлі лідерів за активністю розробників — Ethereum, BNB Chain і Polygon — такі мережі, як Hedera, мають менший запас міцності: один резонансний злам здатен звести нанівець місяці залучення користувачів. Для інституційних учасників і провайдерів ліквідності, які обережно тестували DeFi на Hedera, інцидент із Bonzo додає нову премію за ризик. Він також піднімає питання, наскільки кредитні протоколи мережі залежать від обмеженого кола провайдерів ораклів. Роль Supra, ймовірно, посилить увагу до оракл-ландшафту на permissioned і quasi-permissioned реєстрах. Проблема ораклів не зникає. Випадок Bonzo — не поодинока аномалія: маніпуляції ораклами залишаються одним із головних векторів атак у децентралізованих фінансах, бо грають на розриві між offchain-даними та onchain-виконанням. Інструменти захисту існують — кілька джерел цін, timeweighted average prices, circuit breakers — але вони додають складності й витрат. Невеликі протоколи часто обирають простоту замість безпеки, а менші мережі можуть не мати достатньо глибокої інфраструктури для надійних альтернатив. Перспективи відновлення коштів користувачів Bonzo наразі незрозумілі. У деяких попередніх інцидентах вдавалося повернути частину активів через переговори або whitehat bounty, але жодного підтвердженого рішення в цьому випадку поки немає. Команді протоколу доведеться оцінити реалістичність компенсаційного плану та перебудувати інтеграцію з ораклом. Для спільноти Hedera найближчі тижні стануть тестом: чи повернеться ліквідність, чи перетече на інші майданчики. Висновок для ринку очевидний: у міру поширення DeFi на нові мережі старі вразливості рухаються слідом. Якщо безпека ораклів не стане пріоритетом із першого дня, дедалі більше протоколів ризикуватимуть втратити ліквідність за лічені хвилини.