Según el informe de incidentes publicado por Bonzo Finance Labs en coordinación con la Bonzo Finance Foundation, el ataque ocurrió el 11 de julio de 2026, aproximadamente a las 00:51 UTC (03:51 UTC+3). El atacante logró pedir prestado significativamente más que el valor real de SAUCE con una pequeña cantidad de garantía al enviar un precio manipulado de SAUCE al sistema de oráculo Supra utilizado por Bonzo Lend.

Bonzo argumentó que la vulnerabilidad de seguridad no provino de sus propios contratos inteligentes ni del diseño de su protocolo de préstamos. La empresa declaró que el problema radicaba en el mecanismo de verificación de firmas del oráculo de precios en cadena de terceros utilizado por Bonzo Lend.

Según el informe, la primera cuenta utilizada por el atacante envió un precio manipulado de SAUCE en HBAR al contrato de actualización de precios bajo demanda del oráculo en la red principal de Hedera. Si bien el precio de mercado real de SAUCE es de aproximadamente 0,2 HBAR, el valor enviado por el atacante se mostró aproximadamente 12 decimales más alto que el precio real.

Apenas ocho segundos después de que el precio manipulado se registrara en la cadena, el atacante utilizó una pequeña cantidad de inversión en SAUCE como garantía. Debido a los datos del oráculo, el protocolo calculó que el valor de esta garantía era excepcionalmente alto, lo que resultó en que el atacante pidiera prestados activos que excedían con creces el valor real de su garantía depositada.

Según la investigación de Bonzo, la actualización del precio manipulado fue aceptada porque el validador en cadena de Supra confirmó la prueba sin una firma válida. El equipo agregó que el atacante no falsificó una firma de oráculo válida y que no hubo cambios en el precio de mercado real de SAUCE.

El protocolo declaró que el precio incorrecto debería haber sido rechazado en la capa de validación del oráculo antes de llegar a Bonzo Lend, pero el sistema de validación no lo hizo.

Se reveló que una segunda cuenta también pidió prestados activos adicionales del protocolo mientras los datos de precios anómalos estaban activos. Bonzo declaró que esta cuenta se puso en contacto posteriormente con el equipo, identificándose como un investigador de seguridad white-hat y expresando su intención de devolver los fondos. Esta transacción está siendo considerada por el protocolo como parte del proceso de recuperación.

Se informó que solo los servicios de Bonzo Lend y Bonzo Points se vieron afectados por el ataque. Bonzo Vaults, Bonzo Bridge y los servicios de staking y unstaking unidireccionales para BONZO y XBONZO continuaron operando con normalidad. Un gráfico que muestra la caída del precio de BONZO.

El pool de préstamos en Bonzo Lend ha sido suspendido mientras continúan las revisiones y los esfuerzos de recuperación. Bonzo Finance Labs y Bonzo Finance Foundation anunciaron que están evaluando las condiciones bajo las cuales el protocolo podría reabrirse y el proceso para que los proveedores de liquidez retiren sus activos. El equipo declaró que los detalles sobre la compensación a los usuarios, la recuperación de fondos y la reactivación del protocolo se compartirán más adelante en un anuncio separado.

*Esto no es asesoramiento de inversión.