TVL Bonzo Finance на Hedera обвалился на 77% после эксплойта оракула на $9 млн

Bonzo Finance — кредитный протокол в сети Hedera — лишился большей части ликвидности после атаки, в ходе которой злоумышленник вывел около 9,05 млн долларов. По данным CoinDesk, общий объём заблокированной стоимости (TVL) сократился на 77% из-за изъяна в механизме верификации в стороннем контракте оракула. Ключевой момент в том, что уязвимость находилась не в смарт-контрактах Bonzo, а в интеграции с оракулом Supra. Для DeFi это типичный сценарий: внутренний код протокола может быть тщательно проверен, но реальная поверхность атаки включает всю подключаемую инфраструктуру. В данном случае одного ошибочного шага проверки данных в оракульном контракте оказалось достаточно, чтобы практически полностью опустошить пул ликвидности. Как развивалась атака Согласно доступным деталям, атакующий добился подмены логики ценового фида, после чего начал занимать активы под завышенную оценку залога. Контракт Supra не обеспечил корректную проверку поступающих данных, и злоумышленник смог предоставить фиктивные цены, которым кредитная логика Bonzo доверяла без дополнительных ограничителей. Именно это доверие лежит в основе расчётов loanto-value; после его компрометации платёжеспособность протокола фактически исчезла. Эксплойты оракулов давно известны рынку DeFi и неоднократно затрагивали протоколы в разных сетях. Для Hedera инцидент особенно болезненный: Bonzo успел стать одним из крупнейших кредитных рынков экосистемы. Падение TVL на 77% означает миллионы долларов выведенной ликвидности, зависшие позиции и резкое ухудшение доверия к способности экосистемы выдерживать целевые атаки. Удар по DeFi-планам Hedera Hedera постепенно наращивала присутствие в DeFi, привлекая проекты высокой пропускной способностью и фиксированно низкими комиссиями. При этом сеть остаётся заметно меньшим игроком по сравнению с Ethereum или BNB Chain. На фоне того, что лидеры по активности разработчиков — Ethereum, BNB Chain и Polygon — значительно впереди, у более компактных экосистем вроде Hedera меньше права на ошибку: одна громкая атака способна перечеркнуть месяцы привлечения пользователей. Для институциональных участников и провайдеров ликвидности, которые осторожно тестировали DeFi на Hedera, история с Bonzo добавляет риск-премию. Одновременно обостряется вопрос зависимости кредитных протоколов сети от ограниченного круга поставщиков оракулов. Роль Supra в этом событии почти наверняка привлечёт повышенное внимание к состоянию рынка оракулов в разрешённых и квазираразрешённых реестрах. Проблема оракулов никуда не исчезает Случившееся с Bonzo — не единичная аномалия. Манипуляции оракулами остаются одним из главных векторов атак в децентрализованных финансах, поскольку используют разрыв между внешними данными (off-chain) и исполнением на блокчейне (on-chain). Методы защиты известны: несколько источников цен, TWAP (timeweighted average price), автоматические "предохранители" и лимиты. Но всё это усложняет систему и повышает стоимость поддержки. Небольшие протоколы нередко выбирают простоту в ущерб безопасности, а менее развитые экосистемы могут не иметь достаточной инфраструктуры для надёжных альтернатив. Перспективы восстановления для пользователей Bonzo остаются неопределёнными. В прошлых случаях часть средств иногда возвращалась через переговоры или вознаграждения whitehat-участникам, но на данный момент подтверждённого плана нет. Команде протокола предстоит оценить возможность компенсаций и заново выстроить интеграцию с оракулом. Для сообщества Hedera ближайшие недели станут проверкой: вернётся ли ликвидность или уйдёт в другие сети. Вывод очевиден: по мере расширения DeFi на новые блокчейны старые уязвимости следуют за ним. Если безопасность оракулов не становится приоритетом с первого дня, протоколы и дальше будут терять ликвидность за считаные минуты.