Bonzo Lend DeFi-протоколына шабуыл: оракулды манипуляциялау салдарынан $9 млн шығын
Hedera экожүйесі елеулі қауіпсіздік оқиғасына тап болды: Bonzo Lend DeFi-хаттамасы шабуылға ұшырап, нәтижесінде зиянкес шамамен $9 млн сомасындағы активтерді ұрлап кетті. Бұзылудың негізгі себебі хаттаманың өзінің смарт-келісімшарттарындағы осалдық емес, үшінші тараптың баға оракулы Supra-ның бұзылуы болды.
Bonzo Finance командасының егжей-тегжейлі талдауы бойынша, шабуылдаушы күрделі схеманы қолданған. Кепілге бар болғаны 250 SAUCE токені салынған. Содан кейін хакер оракулға осы активтің жалған бағасын жіберіп, оны шамамен триллион есеге жасанды түрде көтерген. Бұл оған іс жүзінде нөлдік қамтамасыз ету кезінде шамамен 6,6 млн USDC және 34,5 млн wHBAR алуға мүмкіндік берді. Негізінде, баға фидын манипуляциялау кепілді бағалау механизмдерін айналып өтіп, пул өтімділігін шығаруға мүмкіндік берді.
Шабуыл анықталғаннан кейін Bonzo Lend командасы несие қызметі мен балл жинау бағдарламасының жұмысын дереу тоқтатты. Әзірлеушілер оқиғаның хаттама кодындағы қателерге емес, дәл Supra оракул провайдерінің бағаны тексеру жүйесіндегі қатеге байланысты екенін атап өтті. Оқиғаны талдау және қаражатты қалпына келтіру жоспарын дайындау үшін Hedera экожүйесінің серіктестерімен белсенді ынтымақтастық жүргізілуде.
Айта кетейік, SAUCE-тің аномальды бағасы кезінде шамамен $1 млн шығаруға қатысқан мекенжайлардың бірі өзін «ақ хакер» ретінде анықтап, қаражатты қайтару ниетін білдірді. Бұл залалдың ішінара өтелуіне үміт береді, алайда қалған $8 млн-ның тағдыры әзірге күмәнді болып отыр.
Сарапшылардың пікірі: Бұл оқиға DeFi-дегі оракулдардың маңызды рөлін тағы бір рет еске салады. Егер сыртқы деректер көзі (бұл жағдайда — баға фиды) бұзылуы мүмкін болса, тіпті ең сенімді смарт-келісімшарттар да пайдасыз. Bonzo Lend-ке жасалған шабуыл жобаларға көп деңгейлі бағаны тексеру жүйелерін енгізу және манипуляциядан қорғау механизмдері бар орталықтандырылмаған оракулдарды пайдалану қажеттігін көрсетеді. Әйтпесе, біз бірінші жартыжылдықтағы шабуылдардан келген залал $972 млн-нан асып кеткен кезде, осындай сценарийлердің қайталануын байқаймыз.