Le DeFi basé sur Hedera « Bonzo Lend » perd 9 millions de dollars à cause d'une vulnérabilité d'oracle

Bonzo Lend subit une perte de 9 millions de dollars à cause d'une vulnérabilité d'oracle

Le protocole de prêt « Bonzo Lend (Bonzo Finance) », déployé sur le réseau Hedera (Hedera/HBAR), a subi un détournement frauduleux le 11 juillet, exploitant une faille dans le système de référence des prix, entraînant des pertes d'environ 9 millions de dollars (environ 1,35 milliard de yens).

Il semble qu'un hacking impliquant le réseau Hedera soit en cours, avec plus de 3,7 millions de dollars déjà transférés vers Ethereum par les attaquants. Les fonds volés sont actuellement échangés de WBTC à ETH après avoir été transférés via Layerzero depuis le réseau Hedera.

Pour des raisons de sécurité, le protocole et le programme de points sont actuellement suspendus. L'incident a été déclenché par le chercheur en chaîne Specter, qui a suivi des mouvements de fonds suspects vers Ethereum (Ethereum/ETH). L'enquête a révélé que les attaquants avaient déposé seulement 250 tokens SAUCE (d'une valeur de quelques dollars) en garantie, puis avaient exploité un bug dans le système, faisant grimper leur évaluation d'environ 12 chiffres. Sur la base de cette valeur d'actif fictif, ils ont illégalement emprunté 6,63 millions de USDC et 34,5 millions de Wrapped HBAR (WHBAR) depuis le pool.

Par ailleurs, un autre portefeuille qui a retiré environ 1 million de dollars (environ 160 millions de yens) à la même période s'est présenté comme un white hat (hacker éthique) et a exprimé son intention de restituer les fonds.

La cause est un défaut de l'oracle de prix, et non des smart contracts

Concernant cet incident, Bonzo a déclaré que le problème ne provenait pas de ses propres smart contracts ou du réseau principal de Hedera, mais d'un système externe de fourniture de prix, c'est-à-dire l'oracle.

Plus précisément, il existait un défaut grave dans le vérificateur d'oracle en chaîne de Supra, le fournisseur de données. Ce vérificateur a accepté des données de prix SAUCE falsifiées avec une signature nulle, invalidant ainsi les signatures légitimes existantes. Cela a conduit à ce que des prix anormalement élevés manipulés soient directement reflétés dans le protocole. Supra a déjà reconnu le problème et a appliqué un correctif.

Des manipulations de prix de plus en plus sophistiquées et des défis persistants pour le marché DeFi de 2026

Comme dans ce cas, même si le réseau ou l'application fonctionne normalement, des méthodes exploitant la distorsion des données de prix pour siphonner la liquidité se sont déjà produites dans le passé.

En février de cette année (2026), le « YieldBlox DAO » basé sur Stellar a perdu environ 10 millions de dollars (environ 1,6 milliard de yens) en raison d'une manipulation similaire des chemins de prix.

De plus, depuis le début de 2026, la cybercriminalité ciblant les plateformes de cryptomonnaie est en forte hausse. Rien qu'en juillet, des attaques de 6 millions de dollars (environ 970 millions de yens) contre « Summer.fi » et de 20 millions de dollars (environ 3,23 milliards de yens) contre « BONK DAO » ont été enregistrées, portant le total des pertes à plus de 28 millions de dollars (environ 4,5 milliards de yens). Selon des entreprises de données, le deuxième trimestre 2026 a enregistré un nombre record de 83 incidents (avec des pertes d'environ 122,28 milliards de yens). Les atteintes aux droits d'administration et les manipulations de prix représentent 37 % du total.

Ces violations de sécurité répétées suscitent la méfiance des utilisateurs, et le montant total des actifs sous gestion (TVL) dans le DeFi (finance décentralisée), qui était d'environ 1150 milliards de dollars (environ 18,6 trillions de yens) au début de l'année, a chuté d'environ 39 % pour atteindre un peu plus de 700 milliards de dollars (environ 11,3 trillions de yens) en juin, mettant l'ensemble de l'industrie dans une situation difficile.

Avertissement : Ce contenu est fourni à des fins de communication et d'information générale uniquement et ne constitue en aucun cas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, événements en ligne ou toute information mentionnée dans ce document ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, échanger ou traiter de quelque manière que ce soit des actifs crypto, ni à utiliser un quelconque service. Les actifs crypto sont très volatils et peuvent entraîner des pertes. Les services et événements en ligne de WEEX peuvent ne pas être disponibles dans toutes les régions et sont soumis aux lois, réglementations et conditions d'éligibilité applicables. Il vous appartient de veiller à ce que votre utilisation des services WEEX respecte la législation locale et d'évaluer soigneusement les risques avant de participer à toute activité liée aux cryptomonnaies.