Bonzo Finance mất 77% TVL sau vụ khai thác oracle 9 triệu USD trên Hedera

Bonzo Finance, giao thức cho vay trên mạng Hedera, ghi nhận tổng giá trị khóa (TVL) lao dốc 77% sau khi kẻ tấn công lợi dụng lỗ hổng xác thực trong hợp đồng oracle của bên thứ ba để rút khoảng 9,05 triệu USD. Theo CoinDesk, sự cố cho thấy rủi ro dây chuyền khi các ứng dụng DeFi phụ thuộc vào nguồn dữ liệu giá bên ngoài nhưng thiếu cơ chế bảo vệ đủ mạnh. Điểm đáng chú ý là lỗ hổng không nằm trong các hợp đồng thông minh cốt lõi của Bonzo, mà xuất phát từ tích hợp oracle Supra. Nhiều dự án thường kiểm toán kỹ phần mã nội bộ, song bề mặt tấn công thực tế còn bao gồm mọi hạ tầng mà giao thức kết nối. Chỉ một quy trình xác thực sai trong hợp đồng oracle cũng đủ khiến gần như toàn bộ thanh khoản bị rút sạch. Kẻ tấn công hành động nhanh, và khi vấn đề được phát hiện thì thiệt hại đã xảy ra. Diễn biến khai thác oracle Thông tin hiện có cho thấy kẻ tấn công đã thao túng logic oracle giá để vay tài sản dựa trên giá trị tài sản thế chấp bị thổi phồng. Do hợp đồng Supra không xác minh đúng dữ liệu đầu vào, đối tượng này có thể đưa ra mức giá giả và hệ thống cho vay của Bonzo đã tin tưởng hoàn toàn. Sự tin cậy đó là nền tảng cho tính toán tỷ lệ cho vay trên giá trị tài sản thế chấp (LTV). Khi cơ chế này bị phá vỡ, khả năng đảm bảo thanh khoản và an toàn tài chính của giao thức gần như sụp đổ. Các vụ tấn công oracle không xa lạ với DeFi và đã xuất hiện trên nhiều blockchain trong nhiều năm. Với Hedera, sự cố này gây tác động mạnh hơn vì Bonzo từng là một trong những thị trường cho vay lớn nhất trên mạng. Mức giảm 77% TVL đồng nghĩa hàng triệu USD thanh khoản bị rút khỏi hệ thống, nhiều vị thế bị mắc kẹt và niềm tin vào khả năng chống chịu trước tấn công của hệ sinh thái suy giảm đột ngột. Đòn giáng vào tham vọng DeFi của Hedera Hedera thời gian qua mở rộng dấu ấn DeFi một cách tương đối âm thầm, thu hút dự án nhờ thông lượng cao và phí thấp cố định. Dù vậy, quy mô mạng vẫn nhỏ hơn đáng kể so với Ethereum hay BNB Chain. Trong bức tranh hoạt động của nhà phát triển, Ethereum, BNB Chain và Polygon đang bỏ xa phần còn lại; với các mạng như Hedera, biên độ sai sót mỏng hơn. Chỉ một vụ khai thác gây chú ý cũng có thể xóa đi nhiều tháng nỗ lực thu hút người dùng. Đối với nhóm tổ chức và nhà cung cấp thanh khoản vốn đang thận trọng thử nghiệm DeFi trên Hedera, sự cố Bonzo có thể khiến mức "phí rủi ro" tăng lên. Vụ việc cũng đặt ra câu hỏi về mức độ phụ thuộc của các giao thức cho vay trên mạng vào một nhóm nhà cung cấp oracle giới hạn. Vai trò của Supra trong sự cố này nhiều khả năng sẽ kéo sự chú ý về bức tranh oracle trên các sổ cái dạng permissioned và quasi-permissioned. Bài toán oracle chưa có hồi kết Những gì xảy ra với Bonzo không phải ngoại lệ. Thao túng oracle vẫn là một trong các vector tấn công hàng đầu trong tài chính phi tập trung, do tận dụng khoảng trống giữa dữ liệu ngoài chuỗi và thực thi trên chuỗi. Các giải pháp như dùng nhiều nguồn giá, giá trung bình theo thời gian (TWAP) hay "circuit breaker" đều đã có, nhưng đi kèm chi phí và độ phức tạp. Nhiều giao thức nhỏ thường đánh đổi an toàn để đơn giản hóa, còn các hệ sinh thái nhỏ có thể thiếu hạ tầng đủ sâu để triển khai lựa chọn thay thế vững chắc. Triển vọng khắc phục cho người dùng Bonzo hiện vẫn chưa rõ. Một số vụ khai thác trước đây từng dẫn đến hoàn trả một phần thông qua đàm phán hoặc cơ chế thưởng whitehat, nhưng hiện chưa có lộ trình tức thời nào được xác nhận. Đội ngũ dự án sẽ phải đánh giá khả năng bồi hoàn và thiết kế lại phần tích hợp oracle. Với cộng đồng Hedera, vài tuần tới sẽ là phép thử về việc thanh khoản quay trở lại hay tiếp tục dịch chuyển sang nơi khác. Bài học rộng hơn vẫn không đổi: khi DeFi mở rộng sang các blockchain mới, những lỗ hổng cũ vẫn đi theo. Nếu an ninh oracle không được coi là ưu tiên hàng đầu ngay từ đầu, nhiều giao thức sẽ còn chứng kiến thanh khoản bốc hơi chỉ trong vài phút.