Bonzo Lend verliest $9 miljoen op Hedera na exploit van Supra-oracleverificatie

Bonzo Lend, een DeFi-leenprotocol op het Hedera-netwerk, verloor op 11 juli ongeveer $9 miljoen nadat een aanvaller een fout in de on-chain oracleverificatie van Supra misbruikte om de gerapporteerde koers van SAUCE-token als onderpand kunstmatig op te drijven, aldus CoinTelegraph.

Ethereum

ETH

Bekijk coin →

$2.398,96 ▼2,00%

Marktkapitalisatie · $293.01B

De exploit raakte nooit de eigen smart contracts van Bonzo Lend. De bug zat bij Supra — de externe oracle-aanbieder wiens verificatiecontract externe prijsdata controleert voordat die het protocol bereikt. Door die fout kon de aanvaller de gerapporteerde waarde van het SAUCE-onderpand ver boven de werkelijke marktprijs opdrijven, tegen dat opgeblazen cijfer lenen, en er met ongeveer $9 miljoen vandoor gaan voordat iemand de manipulatie opmerkte.

SAUCE is een token dat hoort bij het Hedera-DeFi-ecosysteem en gekoppeld is aan SaucerSwap, de belangrijkste gedecentraliseerde beurs van het netwerk. Dunne markten maken het precies het soort asset waar oracle-aanvallen op gericht zijn. Beperkte orderboeken betekenen dat een gecorrumpeerde prijsfeed een getal kan doorgeven dat de werkelijke markt nooit zou kunnen waarmaken. De aanvaller hoefde de werkelijke koers van SAUCE helemaal niet te bewegen. Hij hoefde alleen de verificatie zover te krijgen dat die een vervalste koers accepteerde.

Oracle-manipulatie teistert DeFi al sinds de begindagen van de sector, en de schade wordt nooit kleiner. Mango Markets verloor in 2022 $114 miljoen toen een handelaar de koers van MNGO-perpetualcontracten via de Mango Markets-oracle manipuleerde. Euler Finance leed in 2023 $197 miljoen schade door een logicafout met gedoneerd onderpand en opgeblazen boekhouding. Beide aanvallen delen hetzelfde basispatroon: de eigen code van het protocol functioneerde precies zoals ontworpen, terwijl de prijs- of boekhoudinvoer waarop die code vertrouwde stilletjes vergiftigd was. Bonzo Lend past precies in die traditie — met als twist dat het defecte onderdeel toebehoorde aan een infrastructuurleverancier in plaats van aan het leenprotocol zelf, zoals opgemerkt in de crypto-nieuwsbrief van CoinSummer.

De technische architectuur van Hedera verscherpt die context. Het netwerk is een proof-of-stake publiek grootboek gebouwd op hashgraph-consensus — architectonisch wezenlijk anders dan EVM-compatibele ketens. Bonzo Lend is een van de belangrijkste leenplatforms van de keten, en het verlies van $9 miljoen weegt zwaar ten opzichte van de totale waarde die in het protocol is vastgezet (TVL), die toch al bescheiden was vergeleken met de TVL die geconcentreerd is op ETH$2.398,96▼2,00% of SOL$102,77▼2,86%. Op een kleinere keten kan één protocolstoring een aanzienlijk deel van de totale DeFi-activiteit van het netwerk uitmaken.

De aanval vond plaats tijdens een periode van risicomijdend sentiment op de cryptomarkten. De totale marktkapitalisatie staat op $2.293,4 miljard, en de Fear & Greed Index noteert 26 van de 100 — diep in angstgebied. In dat klimaat weegt een exploit die richting negen cijfers gaat op een kleinere keten zwaar op de reputatie, zeker wanneer de oorzaak een externe oracle is waarvan mogelijk meerdere protocollen in het ecosysteem afhankelijk zijn.

De identiteit van de aanvaller is niet bevestigd, er is geen on-chain onderhandeling naar buiten gekomen en er is geen terugvorderingsmechanisme aangekondigd. Supra heeft de specifieke fout in de verificatie nog niet publiekelijk toegelicht. Bonzo Lend heeft nog geen herstelplan gepresenteerd voor getroffen deposanten. De openstaande vraag is of andere Hedera-protocollen die prijsfeeds van Supra gebruiken, met dezelfde kwetsbaarheid kampen — en of de uiteindelijke oplossing van Supra vergezeld gaat van een onafhankelijke audit of slechts een stille patch is.