Selon le rapport d’incident publié par Bonzo Finance Labs en coordination avec la Bonzo Finance Foundation, l’attaque s’est produite le 11 juillet 2026 à environ 00 h 51 UTC (03 h 51 UTC+3). L’attaquant a réussi à emprunter un montant nettement supérieur à la valeur réelle du jeton SAUCE, en utilisant une faible quantité de garantie, en envoyant au système d’oracle Supra — utilisé par Bonzo Lend — un prix manipulé de SAUCE.

Bonzo a fait valoir que la vulnérabilité de sécurité ne provenait ni de ses propres contrats intelligents, ni de la conception de son protocole de prêt. La société a indiqué que le problème résidait dans le mécanisme de vérification des signatures de l’oracle de prix hors chaîne tiers utilisé par Bonzo Lend.

Selon le rapport, le premier compte utilisé par l’attaquant a envoyé, sur le réseau principal Hedera, un prix manipulé de SAUCE exprimé en HBAR au contrat de mise à jour à la demande du prix de l’oracle. Alors que le prix réel du marché de SAUCE est d’environ 0,2 HBAR, la valeur transmise par l’attaquant apparaissait comme étant environ 12 décimales supérieure au prix réel.

Huit secondes seulement après que ce prix manipulé ait été enregistré sur la chaîne, l’attaquant a utilisé une petite quantité d’investissement en SAUCE comme garantie. En raison des données fournies par l’oracle, le protocole a évalué la valeur de cette garantie comme exceptionnellement élevée, ce qui a permis à l’attaquant d’emprunter des actifs largement supérieurs à la valeur réelle de sa garantie déposée.

Selon l’enquête menée par Bonzo, la mise à jour de prix manipulée a été acceptée parce que le validateur en chaîne de Supra a confirmé la preuve sans signature valide. L’équipe a ajouté que l’attaquant n’avait pas forgé de signature valide d’oracle et qu’il n’y avait eu aucune modification du prix réel du marché de SAUCE.

Le protocole a précisé que ce prix erroné aurait dû être rejeté au niveau de la couche de validation de l’oracle avant d’atteindre Bonzo Lend, mais le système de validation y a échoué.

Il a été révélé qu’un deuxième compte avait également emprunté des actifs supplémentaires auprès du protocole pendant que les données de prix anormales étaient actives. Bonzo a indiqué que ce compte avait par la suite contacté l’équipe, se présentant comme un chercheur en sécurité « white-hat », et exprimant son intention de restituer les fonds. Cette transaction est prise en compte par le protocole dans le cadre du processus de récupération.

Il a été signalé que seuls les services Bonzo Lend et Bonzo Points avaient été affectés par l’attaque. Les services Bonzo Vaults, Bonzo Bridge, ainsi que les fonctionnalités de staking et de déstaking unidirectionnels pour BONZO et XBONZO ont continué de fonctionner normalement. Un graphique illustrant la baisse du prix de BONZO.

Le pool de prêt de Bonzo Lend a été suspendu pendant que les audits et les opérations de récupération sont en cours. Bonzo Finance Labs et la Bonzo Finance Foundation ont annoncé qu’elles évaluaient les conditions dans lesquelles le protocole pourrait être rouvert, ainsi que la procédure permettant aux fournisseurs de liquidités de retirer leurs actifs. L’équipe a précisé que les détails concernant l’indemnisation des utilisateurs, la récupération des fonds et la réactivation du protocole seraient communiqués ultérieurement dans une annonce distincte.

*Ceci n’est pas un conseil en investissement.