El protocolo DeFi Bonzo Lend en Hedera perdió $9 millones debido a una manipulación del oráculo: el atacante infló el precio del token un billón de veces.
El protocolo DeFi Bonzo Lend, que opera en el ecosistema Hedera, sufrió un sofisticado ataque como resultado del cual el atacante logró retirar activos por un valor de aproximadamente $9 millones. La vulnerabilidad clave fue el compromiso del oráculo de precios externo Supra, y no errores en los contratos inteligentes del propio protocolo.
Detalles del ataque: una brecha de precio de billones
Según el análisis interno del equipo de Bonzo Finance, el atacante actuó siguiendo el esquema clásico de manipulación de liquidez. Depositó 250 tokens SAUCE como garantía y luego transmitió al oráculo un precio falso del activo, inflándolo aproximadamente un billón de veces. Esta distorsión artificial permitió al atacante tomar prestados alrededor de 6,6 millones de USDC y 34,5 millones de wHBAR con una garantía real prácticamente nula.
El equipo del protocolo enfatiza que el incidente está relacionado con un error en el sistema de verificación de precios del proveedor de oráculos Supra. Esto confirma una vez más que las vulnerabilidades a nivel de fuentes de datos externas siguen siendo una de las amenazas más graves para el sector DeFi, incluso cuando la lógica de los contratos inteligentes es impecable.
Reacción y recuperación
Tras detectar el ataque, Bonzo Lend suspendió inmediatamente la operación del servicio de préstamos y el programa de acumulación de puntos. Los desarrolladores declararon que están colaborando activamente con los socios del ecosistema Hedera para analizar el incidente y preparar un plan de recuperación de activos.
Cabe destacar que una de las direcciones involucradas en el retiro de aproximadamente $1 millón en el momento del precio anómalo de SAUCE se identificó como un "hacker blanco" e informó su intención de devolver los fondos. Esto podría mitigar las consecuencias del ataque, pero no elimina el riesgo sistémico que demostró este incidente.
Comentario del experto: El ataque a Bonzo Lend es un recordatorio más de que los protocolos DeFi que dependen de una única fuente de datos externa siguen siendo extremadamente vulnerables. La integración de oráculos descentralizados y verificables de forma cruzada con mecanismos de protección contra manipulaciones debería ser una prioridad para cualquier proyecto serio. En la primera mitad de 2026, los proyectos cripto ya perdieron alrededor de $972 millones como resultado de 207 incidentes, y esta cifra seguirá creciendo si no se extraen las lecciones adecuadas.