Giao thức lending lớn nhất Hedera tạm dừng hoạt động
Bonzo Lend, giao thức cho vay lớn nhất trong hệ sinh thái Hedera, cho biết đã thiệt hại khoảng 9,05 triệu USD sau khi kẻ tấn công khai thác lỗ hổng liên quan đến oracle giá của bên thứ ba.
Sau sự cố, các dịch vụ Bonzo Lend và Bonzo Points đã bị tạm dừng để phục vụ điều tra và khắc phục.
Theo báo cáo sự cố, cuộc tấn công xảy ra vào ngày 11/7/2026, khi kẻ tấn công gửi dữ liệu giá SAUCE đã bị thao túng vào hệ thống oracle Supra mà Bonzo Lend sử dụng.
Giá SAUCE bị đẩy cao bất thường
Bonzo cho biết lỗ hổng không xuất phát từ smart contract hay thiết kế cốt lõi của giao thức lending, mà nằm ở cơ chế xác minh chữ ký của oracle on-chain bên thứ ba.
Kẻ tấn công đã gửi giá SAUCE tính theo HBAR cao hơn rất nhiều so với thực tế. Trong khi giá thị trường của SAUCE chỉ khoảng 0,2 HBAR, dữ liệu được ghi nhận trên oracle lại bị thổi phồng ở mức cực lớn. Chỉ khoảng 8 giây sau khi giá sai được đưa lên chuỗi, kẻ tấn công dùng một lượng nhỏ SAUCE làm tài sản thế chấp để vay ra lượng tài sản vượt xa giá trị thật.
Theo Bonzo, oracle đáng lẽ phải từ chối dữ liệu giá sai ở lớp xác thực trước khi thông tin này được chuyển tới giao thức.
Update: The Bonzo Lend protocol remains paused.
Detailed analysis of the incident has been published in the article below. The team is committed to continued transparency and communication — updates will be provided as information evolves. Thank you.https://t.co/fM9pjFaf6K
— Bonzo Finance Labs (@bonzo_finance) July 11, 2026
Một tài khoản tự nhận là white-hat
Bonzo cũng phát hiện một tài khoản thứ hai đã vay thêm tài sản trong lúc dữ liệu giá bất thường còn hiệu lực. Tài khoản này sau đó liên hệ với đội ngũ, tự nhận là nhà nghiên cứu bảo mật white-hat và bày tỏ ý định hoàn trả tiền.
Nhóm phát triển cho biết Bonzo Vaults, Bonzo Bridge và các dịch vụ staking/unstaking một chiều của BONZO và XBONZO vẫn hoạt động bình thường.
Hiện lending pool của Bonzo Lend tiếp tục bị tạm dừng. Bonzo Finance Labs và Bonzo Finance Foundation đang đánh giá phương án mở lại giao thức, cho phép nhà cung cấp thanh khoản rút tài sản, cũng như kế hoạch bồi thường và thu hồi tiền cho người dùng.
