El protocolo de préstamos Bonzo Lend, implementado en el ecosistema Hedera, ha sido víctima de un sofisticado ataque al oráculo de precios. El atacante logró retirar activos por un valor de aproximadamente $9 millones, explotando una vulnerabilidad en el proveedor de datos externo Supra, y no en los propios contratos inteligentes de la plataforma.
Según el análisis realizado, el atacante depositó como garantía solo 250 tokens SAUCE. Luego, introdujo en el oráculo un precio falso del activo, inflándolo artificialmente aproximadamente un billón de veces. Esta manipulación le permitió tomar prestadas sumas colosales — alrededor de 6,6 millones de USDC y 34,5 millones de wHBAR — con una garantía real prácticamente nula. En esencia, el atacante se "imprimió" una línea de crédito utilizando el valor ficticio de un depósito insignificante.
El equipo de Bonzo Finance suspendió de inmediato la operación del servicio de crédito y el programa de acumulación de puntos. Los desarrolladores enfatizan que el incidente está relacionado exclusivamente con un error en el sistema de verificación de precios del proveedor de oráculos Supra, y no con vulnerabilidades en el código del propio protocolo. Este es un ejemplo clásico de ataque al "eslabón débil" en DeFi: un elemento de infraestructura externo que puede convertirse en un punto de entrada incluso con una arquitectura impecable de contratos inteligentes.
Actualmente, Bonzo Lend colabora con socios del ecosistema Hedera para analizar en detalle el incidente y desarrollar un plan para la recuperación de fondos. Es notable que una de las direcciones involucradas en el retiro de aproximadamente $1 millón durante la "ventana" de precio anómalo de SAUCE se identificó como un "hacker ético" y declaró su intención de devolver los activos. Esto brinda esperanza de una compensación parcial del daño.
Opinión de experto: El ataque a Bonzo Lend es otra señal de alerta para toda la industria DeFi. El problema no está en el código del protocolo, sino en su dependencia de oráculos externos. Mientras los proyectos no comiencen a implementar fuentes de datos descentralizadas y verificadas múltiples veces, con mecanismos de protección contra manipulaciones, incidentes como este se repetirán. La pérdida de $9 millones debido a un solo precio ficticio no es una casualidad, sino un riesgo sistémico que requiere una revisión inmediata de los estándares de seguridad.