Согласно отчету об инциденте, опубликованному Bonzo Finance Labs совместно с Bonzo Finance Foundation, атака произошла 11 июля 2026 года примерно в 00:51 UTC (03:51 UTC+3). Злоумышленнику удалось занять значительно больше, чем фактическая стоимость SAUCE, с небольшим количеством залога, отправив манипулированную цену SAUCE в систему оракула Supra, используемую Bonzo Lend.

Bonzo утверждал, что уязвимость безопасности не исходила от его собственных смарт-контрактов или дизайна его протокола кредитования. Компания заявила, что проблема заключалась в механизме проверки подписи стороннего ончейн-оракула цен, используемого Bonzo Lend.

Согласно отчету, первый аккаунт, использованный злоумышленником, отправил манипулированную цену SAUCE в HBAR в контракт обновления цены по запросу оракула в основной сети Hedera. В то время как фактическая рыночная цена SAUCE составляет примерно 0,2 HBAR, значение, отправленное злоумышленником, было показано примерно на 12 десятичных знаков выше фактической цены.

Всего через восемь секунд после того, как манипулированная цена была записана в блокчейне, злоумышленник использовал небольшое количество инвестиций SAUCE в качестве залога. Из-за данных оракула протокол рассчитал стоимость этого залога как исключительно высокую, в результате чего злоумышленник занял активы, значительно превышающие фактическую стоимость внесенного им залога.

По данным расследования Bonzo, манипулированное обновление цены было принято, потому что ончейн-валидатор Supra подтвердил доказательство без действительной подписи. Команда добавила, что злоумышленник не подделывал действительную подпись оракула и что фактическая рыночная цена SAUCE не изменилась.

Протокол заявил, что некорректная цена должна была быть отклонена на уровне валидации оракула до того, как она достигла Bonzo Lend, но система валидации не смогла этого сделать.

Выяснилось, что второй аккаунт также занял дополнительные активы из протокола, пока действовали аномальные данные о ценах. Bonzo заявил, что этот аккаунт позже связался с командой, идентифицировав себя как исследователь безопасности white-hat и выразив намерение вернуть средства. Эта транзакция рассматривается протоколом как часть процесса восстановления.

Сообщалось, что атака затронула только сервисы Bonzo Lend и Bonzo Points. Сервисы Bonzo Vaults, Bonzo Bridge, а также односторонние услуги стейкинга и анстейкинга для BONZO и XBONZO продолжали работать в обычном режиме. График, показывающий падение цены BONZO.

Пул кредитования в Bonzo Lend был приостановлен на время проведения проверок и усилий по восстановлению. Bonzo Finance Labs и Bonzo Finance Foundation объявили, что они оценивают условия, при которых протокол может быть вновь открыт, и процесс вывода активов поставщиками ликвидности. Команда заявила, что подробности, касающиеся компенсации пользователям, восстановления средств и реактивации протокола, будут опубликованы позже в отдельном объявлении.

*Это не инвестиционный совет.