Протокол приостановил работу Bonzo Lend сразу после атаки. Его программа начисления баллов также была приостановлена, тогда как хранилища (vaults), мост (bridge) и продукты стейкинга Bonzo остались нетронутыми. Hedera заявила в X, что инцидент ограничился сторонним верификатором оракула и не затрагивал уязвимостей в основной инфраструктуре сети.

Злоумышленник заложил 250 токенов SAUCE — стоимостью всего несколько долларов — в качестве обеспечения примерно в 20:40 по ET в пятницу, после чего отправил обновление цены в контракт оракула Supra по запросу (on-demand oracle contract), завысив стоимость токена примерно на 12 порядков. Согласно отчёту, на тот момент SAUCE торговался около 0,2 HBAR; манипулированное обновление содержало значение «1» с 30 нулями после неё.

В течение нескольких секунд после того, как манипулированная цена попала в блокчейн в 20:51 по ET, кошелёк взял в долг примерно 6,63 млн USDC и 34,5 млн обёрнутых HBAR (wrapped HBAR) под почти бесполезный залог. Bonzo оценила извлечённый основной долг в приблизительно $9,05 млн, используя справочную цену HBAR в размере около $0,07.

Фальшивое обновление цены содержало криптографическую подпись, состоящую исключительно из нулей. Верификатор Supra должен был немедленно отклонить такую подпись, однако из-за ошибки в логике проверки подписей контрактом он принял её за действительную.

Это позволило злоумышленнику отправить цену без одобрения законных подписчиков Supra. Проще говоря, злоумышленник не взломал криптографию Supra и не похитил ключ для подписи; скорее, он нашёл способ заставить верификатор принять явно недействительное обновление.

Bonzo сообщила, что Supra признала проблему и развернула исправление в затронутом контракте верификатора на основной сети Hedera. «Именно благодаря этому исправлению и возможности проанализировать поведение контракта мы можем описать механизм атаки», — написала команда Bonzo.

Второй кошелёк взял в долг около $1 млн, пока фальшивая цена оставалась активной, после чего связался с командой Bonzo, представился «белым шляпой» (white-hat responder) и сообщил о намерении вернуть средства. Bonzo исключила эту сумму из итоговой цифры, которая в противном случае составила бы примерно $10,06 млн.

Исследователь в блокчейне Specter первым обратил внимание на подозрительные перемещения средств с Hedera на Ethereum до того, как Bonzo подтвердила источник эксплуатации. Законное обновление оракула восстановило цену SAUCE в 21:36 по ET в пятницу, а Bonzo приостановила свой кредитный пул спустя пять минут.

Этот инцидент продолжает тяжёлый год для криптоиндустрии в части эксплуатаций: по данным Immunefi, в первой половине 2026 года проекты потеряли примерно $972 млн в рамках рекордных 207 инцидентов. Также он соответствует более широкому тренду — росту сбоев в инфраструктуре, компрометации приватных ключей и слабостей в механизмах привилегированного доступа вне основных контрактов затронутого приложения. Такие динамики наблюдались, например, при предполагаемой компрометации ключей Gravity Bridge и эксплуатации уязвимости проверки моста (bridge-verification exploit) в Kelp DAO.

Отказ от ответственности: The Block — независимый медиа-ресурс, предоставляющий новости, исследования и данные. По состоянию на ноябрь 2023 года Foresight Ventures является крупнейшим инвестором The Block. Foresight Ventures инвестирует и в другие компании в сфере криптовалют. Криптобиржа Bitget выступает в качестве ключевого LP (limited partner) для Foresight Ventures. The Block сохраняет полную независимость в работе и продолжает предоставлять объективную, значимую и своевременную информацию об индустрии криптовалют. Подробнее о наших текущих финансовых раскрытиях можно узнать здесь.

© 2026 The Block. Все права защищены. Данная статья предназначена исключительно в информационных целях. Она не представляет собой юридическую, налоговую, инвестиционную, финансовую или иную профессиональную консультацию.