Bonzo Lend mất 9 triệu USD do lỗ hổng oracle trên mạng Hedera

Bonzo Lend bị khai thác 9 triệu USD qua lỗ hổng oracle trên Hedera

Giao thức cho vay phi tập trung Bonzo Lend trên mạng Hedera vừa trở thành nạn nhân của một vụ tấn công oracle, khiến dự án thiệt hại khoảng 9 triệu USD. Kẻ tấn công đã lợi dụng lỗ hổng trong trình xác minh oracle on-chain của Supra để thực hiện hành vi thao túng giá.

Cơ chế tấn công

Theo thông tin ban đầu, kẻ tấn công đã thổi phồng giá trị của token SAUCE — loại tài sản được dùng làm thế chấp trên nền tảng Bonzo Lend. Bằng cách khai thác sai sót trong cơ chế xác thực dữ liệu giá của Supra, kẻ xấu đã khiến hệ thống ghi nhận giá trị tài sản thế chấp cao hơn thực tế, từ đó vay được lượng tài sản trị giá 9 triệu USD mà không có đủ bảo đảm thực chất.

Đây là dạng tấn công oracle manipulation — một véc-tơ tấn công phổ biến trong lĩnh vực DeFi, khi giao thức phụ thuộc vào nguồn cấp dữ liệu giá bên ngoài mà không có cơ chế kiểm tra chéo đủ mạnh.

Hệ sinh thái Hedera bị ảnh hưởng

Hedera là mạng lưới sử dụng cơ chế đồng thuận Hashgraph, thường được định vị là giải pháp thay thế cho các blockchain truyền thống với tốc độ giao dịch cao và phí thấp. Tuy nhiên, vụ việc lần này cho thấy các giao thức DeFi xây dựng trên Hedera cũng đối mặt với những rủi ro bảo mật tương tự các hệ sinh thái khác nếu hạ tầng oracle không được kiểm toán kỹ lưỡng.

Bonzo Lend là một trong những giao thức cho vay nổi bật trên Hedera, cho phép người dùng ký gửi và vay tài sản thông qua các hợp đồng thông minh. Vụ tấn công ảnh hưởng trực tiếp đến thanh khoản và niềm tin của cộng đồng vào nền tảng này.

Vai trò của Supra Oracle

Supra là nhà cung cấp dữ liệu oracle đa chuỗi, cung cấp nguồn cấp giá cho nhiều giao thức DeFi trên các mạng khác nhau. Lỗ hổng được xác định nằm ở trình xác minh oracle on-chain — thành phần chịu trách nhiệm kiểm tra và phê duyệt dữ liệu giá trước khi đưa vào hệ thống.

Việc một lỗ hổng ở lớp hạ tầng oracle dẫn đến thiệt hại trực tiếp cho giao thức phía trên một lần nữa đặt ra câu hỏi về trách nhiệm bảo mật giữa các nhà cung cấp dịch vụ hạ tầng và các giao thức sử dụng dịch vụ đó.

Bối cảnh rộng hơn

Các vụ tấn công oracle tiếp tục là một trong những nguyên nhân gây thất thoát lớn nhất trong DeFi. Theo dữ liệu từ nhiều công ty bảo mật blockchain, thao túng oracle chiếm tỷ trọng đáng kể trong tổng giá trị bị đánh cắp qua các vụ hack DeFi hàng năm.

Hiện tại, Bonzo Lend và Supra chưa công bố chi tiết đầy đủ về kế hoạch xử lý hậu quả hay bồi thường cho người dùng bị ảnh hưởng. Cộng đồng đang chờ đợi thông báo chính thức từ cả hai bên.