O protocolo de empréstimo Bonzo Lend, baseado na plataforma Hedera, perdeu cerca de US$ 9 milhões depois que um invasor manipulou o preço da criptomoeda SAUCE, usada como garantia, permitindo que a conta tomasse empréstimos em valores muito superiores ao depositado.
Em um relatório preliminar do incidente publicado no sábado, a Bonzo afirmou que o atacante depositou 250 SAUCE, equivalentes a apenas alguns dólares, antes de enviar uma atualização de preço que inflacionou o valor do token em cerca de 12 ordens de magnitude. A carteira então tomou emprestado 6,63 milhões de USDC e 34,5 milhões de HBAR encapsulados do pool de empréstimos.
O caso ilustra como falhas em oráculos podem transformar garantias de baixo valor em uma ferramenta para drenar grandes quantidades de liquidez de protocolos de empréstimo, mesmo quando o aplicativo e a rede subjacente continuam operando conforme o planejado.
A Bonzo atribuiu o incidente a uma falha no verificador de oráculo on-chain da Supra, que aceitou um preço SAUCE manipulado com uma assinatura zerada. O protocolo afirmou que a Supra reconheceu o problema e implementou uma correção, ressaltando que o incidente não se tratava de uma vulnerabilidade nos contratos da Bonzo Lend ou na rede principal da Hedera.
Impacto econômico estimado do incidente. Fonte: Bonzo Finance
Os ataques cibernéticos à DeFi continuam a pressionar o setor
O incidente soma-se a um número crescente de explorações direcionadas a protocolos de finanças descentralizadas (DeFi) em 2026.
O segundo trimestre tornou-se o trimestre com o maior número de ataques cibernéticos já registrado, com 83 explorações e cerca de US$ 755 milhões roubados. Explorações de pontes entre blockchains foram responsáveis por US$ 351 milhões, enquanto ataques a administradores comprometidos e manipulação de preços de tokens falsos representaram 37% das perdas trimestrais.
Em 2026, o valor total bloqueado (TVL) do DeFi havia caído 39%, para mais de US$ 70 bilhões em junho, ante cerca de US$ 115 bilhões em janeiro. O CryptoRank registrou 121 ataques cibernéticos e aproximadamente US$ 942 milhões em perdas durante o período, afirmando que os repetidos incidentes de segurança provavelmente afetaram a confiança dos usuários e reforçaram a saída de capital.
O incidente com o Bonzo também segue uma exploração semelhante de manipulação de preços de garantias na Stellar. Em fevereiro, atacantes drenaram aproximadamente US$ 10 milhões de um pool de empréstimos gerenciado pela YieldBlox DAO após manipularem a trajetória de preços usada para avaliar a garantia em USTRY, permitindo que eles tomassem empréstimos de ativos além do valor real do token.