Hederaを基盤とするレンディングプロトコルBonzo Financeがオラクル攻撃を受け、約900万ドルの損失が発生しました。攻撃者はSAUCEトークンの価格が異常に高騰した担保を利用し、実際の価値をはるかに超える資産をプロトコルから借り入れました。

Bonzoの初期インシデントレポートによると、攻撃者はわずか数ドルの価値しかない250 SAUCEトークンを入金した後、価格アップデートを提出し、トークン価格を約12桁も人為的に吊り上げました。その後、このアドレスはレンディングプールから663万ドル相当のUSDCと3450万ラップドHBAR（wHBAR）を借入しました。

このインシデントは、オラクルサービスプロバイダーSupraのオンチェーンオラクルバリデーターにおける脆弱性に起因すると考えられており、Supraはゼロ署名のSAUCE価格データを誤って受け入れてしまいました。

[PANews]

7月12日（UTC+8）、Hederaを基盤とする貸付プロトコルBonzo Financeがオラクル攻撃に遭い、約900万ドルの損失を被りました。攻撃者は、SAUCEトークンの価格が異常に高騰した後の担保を悪用し、プロトコルから実際の価値を大幅に上回る資産を借入れました。

Bonzoが公表した初期事故報告によると、攻撃者はわずか250枚のSAUCE（価値は数ドル程度）のみを預け入れ、その後、価格更新を1回送信して、当該トークンの価格を人為的に約12桁も引き上げました。その後、このアドレスは貸付プールから663万ドル相当のUSDCおよび3450万枚のラップされたHBAR（wHBAR）を借入れました。

今回の事件は、オラクルサービスプロバイダーSupraのチェーン上オラクル検証器に存在していた脆弱性が原因であるとされています。同社の検証器は、署名がゼロ化されたSAUCEの価格データを誤って受理してしまったのです。Supraはこの問題を確認済みであり、既に修正を完了しています。Bonzoは、今回の攻撃はBonzoのスマートコントラクトやHederaの基盤ネットワーク自体に起因するものではなく、オラクル側の問題であると強調しています。

データによると、2026年第2四半期は、暗号資産業界の歴史において攻撃件数が最多となった四半期となり、合計83件のセキュリティインシデントが発生し、累計損失額は約7.55億ドルに達しました。そのうち、クロスチェーンブリッジを標的とした攻撃による損失は約3.51億ドルで、管理者権限の漏洩および偽のトークン価格操作による損失は、当該四半期の総損失額の37％を占めています。

継続的なセキュリティインシデントの影響を受け、DeFi業界の総ロックアップ価値（TVL）は今年1月の約1150億ドルから6月には700億ドル以上へと減少し、累計で39％の下落となりました。CryptoRankのデータによると、今年に入ってから業界全体で121件のセキュリティインシデントが発生し、累計損失額は約9.42億ドルに上っています。こうした継続的なセキュリティ問題は、ユーザーの信頼をさらに損なう可能性があり、資金流出を加速させる恐れがあります。

なお、今年2月にはStellarエコシステムの貸付プロトコルYieldBloxでも同様の事件が発生しています。攻撃者はUSTRY担保の価格経路を操作し、同プロトコルの貸付プールから約1000万ドル相当の資産を窃取しました。（出典：PANews）

[ME News]

HBAR

SUPRA

USDC

Bonzoはオラクル攻撃により約900万ドルを失い、攻撃者はSAUCEの価格を操作して巨額の資産を借り入れた

Bonzo Lend は、Hedera (HBAR) 上の分散型レンディングプロトコルですが、金曜日の午後遅くに約905万ドル相当の被害を受けました。これは、Bonzo が公開した予備的なインシデントレポートによると、攻撃者がサードパーティの Supra オラクル検証ツールの脆弱性を悪用し、SAUCE トークンの人工的な価格を提出したためです。

攻撃後、プロトコルは Bonzo Lend を一時停止しました。ポイントプログラムも停止されましたが、Bonzo のボルト、ブリッジ、ステーキング製品は影響を受けませんでした。Hedera は X で、このインシデントはサードパーティのオラクル検証ツールに限定されており、ネットワークのコアインフラストラクチャの欠陥は含まれていないと述べました。

レポートによると、攻撃者は金曜日の午後8時40分頃に数ドル相当の SAUCE 250 を担保として預け入れ、その後 Supra のオンデマンドオラクルコントラクトに価格更新を提出し、トークンの価値を約12桁誇張しました。当時 SAUCE は約0.2 HBAR で取引されており、操作された更新は1の後ろにゼロが30個続く数値を運びました。

操作された価格が金曜日の午後8時51分にオンチェーンに到達してから数秒以内に、ウォレットはほぼ無価値な預け入れに対して約663万 USDC と3450万のラップされた HBAR を借りました。Bonzo は、約0.07ドルの HBAR 参考価格を使用して、抽出された元本を約905万ドルと評価しました。

偽の価格更新は、完全にゼロで構成された暗号署名を伴っていました。Supra の検証ツールはそれをすぐに拒否すべきでしたが、コントラクトが署名をどのようにチェックしたかの欠陥により、有効と見なされました。

これにより、攻撃者は Supra の正規の署名者からの承認なしに価格を提出することができました。簡単に言えば、攻撃者は Supra の暗号化を破ったり、署名キーを盗んだりしたわけではありません。むしろ、検証ツールに明らかに無効な更新を受け入れさせる方法を見つけました。

Bonzo は、Supra が問題を認識し、影響を受けた検証ツールコントラクトに修正をデプロイしたと述べました。「この修正により、コントラクトの動作を検査できるようになり、メカニズムを説明することができました」と Bonzo チームは書いています。

悪い価格が有効だった間、2番目のウォレットが約100万ドルを借り入れ、その後チームに連絡し、自身をホワイトハットレスポンダーと名乗り、資金を返還する意向であると述べました。Bonzo は、その金額をヘッドラインの数字から除外し、そうでなければ合計は約1006万ドルになるところでした。

オンチェーン調査員の Specter が、Bonzo がエクスプロイトの発生源を確認する前に、Hedera から Ethereum への不正な資金移動を最初に特定しました。正規のオラクル更新により、金曜日の午後9時36分に SAUCE の価格が回復し、Bonzo は5分後にレンディングプールを一時停止しました。

このインシデントは、仮想通貨エクスプロイトにとって厳しい年を延長するものであり、Immunefi によると、2026年前半には記録的な207件のインシデントで約9億7200万ドルが失われました。また、影響を受けたアプリケーションのコアコントラクトの外側にあるインフラストラクチャの障害、秘密鍵の侵害、特権アクセスの弱点への広範なシフトにも適合しており、これは Gravity Bridge の鍵の侵害と Kelp DAO のブリッジ検証エクスプロイトの疑いで見られたダイナミクスです。

免責事項：The Block は、ニュース、リサーチ、データを提供する独立したメディアアウトレットです。2023年11月現在、Foresight Ventures は The Block の過半数投資家です。Foresight Ventures は、仮想通貨分野の他の企業に投資しています。仮想通貨取引所の Bitget は、Foresight Ventures のアンカー LP です。The Block は、仮想通貨業界に関する客観的で影響力のあるタイムリーな情報を提供するために、独立して運営を続けています。現在の財務開示はこちらです。

© 2026 The Block. All Rights Reserved. 本記事は情報提供のみを目的として提供されています。法的、税務上、投資上、財務上、またはその他のアドバイスとして提供または意図されるものではありません。

Supraの検証者が改ざんされた価格更新を承認した後、ヘデラの貸付プロトコル「Bonzo Lend」が900万ドルの損失を被った。

Hederaを基盤とする貸付プロトコル「Bonzo Finance」がオラクル攻撃に遭い、約900万米ドル相当の損失を被りました。攻撃者は、SAUCEトークンの価格が異常に高騰した後の担保を悪用し、実際の価値をはるかに上回る資産を当該プロトコルから借入ました。

Bonzoが公表した初期の事故報告書によると、攻撃者はわずか250枚のSAUCE（価値は数米ドルにすぎません）のみを預け入れた後、1回の価格更新を実行し、当該トークンの価格を人為的に約12桁も引き上げました。その後、このアドレスは貸付プールから663万米ドル相当のUSDCおよび3450万枚のラップドHBAR（wHBAR）を借入ました。

今回の事件は、オラクルサービスプロバイダー「Supra」のチェーン上オラクル検証器に存在する脆弱性が原因であると見られており、同検証器が署名がゼロに設定されたSAUCE価格データを誤って受け入れてしまったことが明らかになっています。

[PANews]

Bonzoはオラクル攻撃により約900万ドルを失い、攻撃者はSAUCE価格を操作して巨額の資産を借り入れた

Hederaを基盤とする貸付プロトコルBonzo Financeがオラクル攻撃を受け、約900万ドルを損失しました。攻撃者はSAUCEトークンの価格が異常に吊り上げられた後の担保を利用し、プロトコルから実際の価値をはるかに超える資産を借り入れました。Bonzo Financeが発表した初期のインシデントレポートによると、攻撃者はわずか250枚のSAUCEを入金した後、価格更新を提出してこのトークンの価格を人為的に約12桁引き上げ、その後、そのアドレスは貸付プールから663万USDCと3450万のラップドHBARを借りました。

今回の攻撃は、Bonzo FinanceのスマートコントラクトやHederaの基盤ネットワーク自体に脆弱性があったわけではなく、オラクルサービスプロバイダーであるSupraのオンチェーンオラクルバリデーターに脆弱性が存在したことに起因します。Supraは、署名がゼロに設定されたSAUCE価格データを誤って受け入れ、現在この問題を確認し修正を完了しました。

[Odaily星球日报]

約900万ドルの損失、Hederaエコシステムの貸付プロトコルBonzo Financeがオラクル攻撃に遭う

ヘデラ・エコシステムで最大規模のレンディング・プロトコルであるBonzo Lendは、サードパーティ製のプライス・オラクル（価格情報提供サービス）に存在した脆弱性を悪用された結果、約905万米ドルの損失を被ったと発表しました。攻撃発生後、Bonzo LendおよびBonzo Pointsのサービスは一時的に停止されました。

Bonzo Finance LabsがBonzo Finance Foundationと連携して公表したインシデント報告書によると、今回の攻撃は2026年7月11日、協定世界時（UTC）で約00:51（UTC+3では03:51）に発生しました。攻撃者は、Bonzo Lendが利用しているSupraオラクル・システムに対して改ざんされたSAUCE価格を送信することで、わずかな担保額で実際のSAUCE価値をはるかに上回る金額を借り入れることに成功しました。

Bonzoは、このセキュリティ脆弱性が自社のスマートコントラクトやレンディング・プロトコルの設計由来ではないと主張しています。同社は、問題の根本原因がBonzo Lendが採用しているサードパーティ製オンチェーン・プライス・オラクルの署名検証メカニズムにあると述べています。

報告書によれば、攻撃者が最初に使用したアカウントは、ヘデラ・メインネット上で、オラクルのオンデマンド価格更新コントラクトへ、HBAR単位で改ざんされたSAUCE価格を送信しました。実際のSAUCE市場価格は約0.2 HBARであるのに対し、攻撃者が送信した価格は実際の価格より小数点以下12桁分も高い値として表示されました。

改ざんされた価格がブロックチェーン上に記録されてからわずか8秒後、攻撃者は少量のSAUCE投資を担保として利用しました。オラクルからのデータにより、この担保の価値が異常に高く算出され、その結果、攻撃者は預託した担保の実際の価値をはるかに上回る資産を借り入れることになりました。

Bonzoの調査によると、この改ざん価格の更新が受け入れられたのは、Supraのオンチェーン・バリデーターが有効な署名を伴わない状態で証明を確認したためです。チームは、攻撃者が有効なオラクル署名を偽造したわけではなく、またSAUCEの実際の市場価格には何ら変化がなかったとも付言しています。

プロトコルは、不正な価格情報はオラクルの検証レイヤーにおいてBonzo Lendに到達する前に拒否されるべきであったと説明しており、検証システムがその機能を果たせなかったと指摘しています。

また、異常な価格データが有効な状態の間に、第2のアカウントもプロトコルから追加の資産を借り入れていたことが明らかになりました。Bonzoは、このアカウントが後にチームに連絡し、自身をホワイトハットのセキュリティ研究者であると名乗り、資金返還の意向を示したと述べています。この取引については、復旧プロセスの一環としてプロトコル側で現在検討中です。

今回の攻撃の影響を受けたのはBonzo LendおよびBonzo Pointsのサービスのみであり、Bonzo Vaults、Bonzo Bridge、ならびにBONZOおよびXBONZOの片方向ステーキングおよびアンステーキング・サービスは引き続き正常に稼働していました。BONZO価格の下落を示すグラフも掲載されています。

Bonzo Lendのレンディング・プールは、レビューおよび復旧作業が継続中のため、現時点で一時停止されています。Bonzo Finance LabsおよびBonzo Finance Foundationは、プロトコルの再開条件および流動性提供者が保有資産を引き出すための手順について評価を進めていると発表しました。チームは、ユーザーへの補償内容、資金回収の進捗、およびプロトコルの再開に関する詳細については、後日別途アナウンスにてお知らせするとしています。

※これは投資助言ではありません。

ハッカーがアルトコインの価格を操作している

Bonzoはオラクル攻撃により約900万ドルを失い、攻撃者はSAUCEの価格を操作して大量の資産を借入しました。

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]

Bonzo遭预言机攻击损失约900万美元，攻击者操纵SAUCE价格借出巨额资产

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]