Das auf Hedera laufende Lending-Protokoll Bonzo Lend ist Opfer eines Hackerangriff geworden. Der Schaden liegt dem Projekt nach bei 9,05 Millionen US-Dollar und das Protokoll wurde infolgedessen erstmal pausiert. Die Bridge-Funktion des Projekts sowie das Single-Sided-Staking von BONZO und XBONZO sind von dem Hack nicht betroffen. Als Ursache gilt ein Problem in der fehlerhaften Preis-Verifikation eines Drittanbieter-Oracles von Supra.
Falscher Preisfeed hebelt Sicherheiten aus
Der Angriff lief dabei über den Hedera-Token SAUCE. Der Angreifer hinterlegte zunächst 250 SAUCE mit einem Gegenwert von nur wenigen Dollar als Sicherheit. Ein Fehler im Oracle-Preis machte daraus jedoch einen deutlich höheren Gegenwert. Bonzo spricht von einer Erhöhung um zwölf Größenordnungen, wodurch der Angreifer 6,63 Millionen USDC und 34,52 Millionen WHBAR entnehmen konnte. Bei einem HBAR-Preis von 0,06998 US-Dollar ergibt sich daraus der Schaden von 9,05 Millionen US-Dollar.
Das DeFi-Protokoll betont indes, dass es sich nicht um einen klassischen Flash-Loan-Angriff oder eine Marktmanipulation des realen SAUCE-Preises gehandelt habe.
Neben dem Hauptangriff gab es im gleichen Zeitfenster eine zweite Wallet, die sich die fehlerhafte Preisvalidierung zugutekommen ließ. Eine Million US-Dollar soll sich diese zweite Identität über Bonzo Lend ausgeliehen haben. Über Discord meldete sich diese Person später allerdings bei Bonzo und bezeichnete sich als White-Hat-Responder. Die entliehene Summe soll zurückgezahlt werden und wird vom Projekt daher auch nicht in die Summe des Hauptschadens eingeschlossen. Andernfalls läge das entnommene Volumen bei etwa 10,06 Millionen US-Dollar.
Oracle-Risiko trifft Hedera-DeFi
Die Folgen des Hackerangriffs waren auch im Hedera-Ökosystem sichtbar. Das Total Value Locked von Bonzo Lend brach nach dem Exploit um 77 Prozent ein. Zudem fiel der Gesamtwert aller Krypto-Assets, die in DeFi-Anwendungen auf der Hedera-Blockchain gebunden sind, innerhalb von 24 Stunden um fast 40 Prozent auf etwa 25,7 Millionen US-Dollar.
