يتكبد Bonzo Lend خسارة $9M في استغلال أوراكل بعد أن أدت الأسعار الوهمية لـ SAUCE إلى استنزاف البروتوكول

فقد بروتوكول الإقراض Bonzo Lend على شبكة Hedera حوالي 9.05 ملايين دولار في 11 يوليو بعد أن استغل مهاجم ثغرة في مُتحقِّق أوراكل خارجي تابع لجهة خارجية لدى Supra. دفع المهاجم تحديثًا سعريًا مزيفًا لرمز SAUCE عبر المُتحقِّق من خلال تقديم توقيع مُصفَّر تم التحقق منه بشكل غير صحيح، مما أدى إلى تضخيم سعر SAUCE بنحو اثني عشر أمرًا من حيث المقدار. أتاح هذا الاستغلال للمهاجم الاقتراض مقابل ضمان بقيمة لا تتجاوز جزءًا صغيرًا من القروض التي تم أخذها، مما استنزف مجمعات الإقراض الخاصة بالبروتوكول. أكدت Hedera أن الحادثة كانت معزولة في مُتحقِّق الأوراكل الخارجي ولم تُعرِّض إجماع الشبكة أو خدماتها الأساسية للخطر. اعترفت Supra بثغرة التحقق ونشرت إصلاحًا للعقد المتأثر على شبكة Hedera الرئيسية.

استغلال مهاجم لمُتحقِّق أوراكل Supra في 11 يوليو

بدأ الهجوم عند نحو 00:51 بالتوقيت العالمي المنسق في 11 يوليو، وفقًا لتقرير حادثة Bonzo. قامت محفظة مُعنونة باسم Wallet A من قِبل الفريق بإرسال تحديث سعر موقَّع بتوقيع مُصفَّر، والذي قبلته مُتحقِّق Supra باعتباره صالحًا. حدَّث التحديث سعر SAUCE إلى رقم يبدأ بالعدد 1 متبوعًا بـ 30 صفرًا، مقابل سعر سوق فعلي يبلغ حوالي 0.2 HBAR، مما أدى إلى تضخيم قيمة الرمز بنحو اثني عشر أمرًا من حيث المقدار. ومع تسعير ضمان SAUCE بهذا المستوى، استنزفت المحفظة مجمعات الإقراض في البروتوكول.

تجاوز التوقيع المُصفَّر لعملية التحقق

يتتبع تقرير Bonzo سبب الفشل إلى كيفية فحص مُتحقِّق Supra للتواقيع. تقول الوثيقة: "تم سؤال وحدة precompile الخاصة بالاقتران عما إذا كان هناك معادلة محددة، فأجابت بشكل صحيح بـ 'نعم'. ثم تعامل مُتحقِّق Supra ذلك 'نعم' على أنه دليل على توقيع صالح للجنة، وهو ما لم يكن كذلك أبدًا". شدد الفريق على أن عقوده هي التي تسعِّر الضمان وتُحسِب قدرة الاقتراض بدقة كما هو مُشفّر: "لم تتعطل عقود Bonzo Lend في أي مرحلة". وقد دعمت Hedera هذا الإيضاح، مشيرة إلى أن الفشل وقع في طبقة الأوراكل من المصدر، وأن إجماع الشبكة وخدماتها الأساسية لم يتم المساس بها.

محفظة "هاكر أبيض" تتعهد بإرجاع مليون دولار

استولت محفظة ثانية على نحو مليون دولار باستخدام الفجوة نفسها. وقال Bonzo إن هذه المحفظة تواصلت منذ ذلك الحين مع الفريق، وحددت نفسها باعتبارها مستجيبًا من نوع "هاكر أبيض"، وتعهدت بإرجاع الأموال. يستثني الفريق هذا المبلغ من رقم الخسارة الرئيسي.

أوقف Bonzo المنتجات مع تراجع TVL بنسبة 78 بالمئة

أوقف Bonzo منتجي Lend وPoints بعد الاستغلال، بينما ما زالت تعمل منتجات Vaults وBridge وعمليات التخزين (staking). انخفض إجمالي القيمة المقفلة في البروتوكول من نحو 14.3 مليون دولار في 10 يوليو إلى نحو 3.2 مليون دولار بحلول 12 يوليو، أي انخفاض بنحو 78 بالمئة، وفقًا لبيانات DefiLlama. قال الفريق إنه يجري التنسيق مع مستجيب "هاكر أبيض" لاستعادة الأموال، ويعمل على وضع شروط لرفع الإيقاف وإعادة فتح عمليات السحب لمقدمي السيولة. نشرت Supra إصلاحًا للعقد المتأثر على شبكة Hedera الرئيسية، وتعمل مع باحثين أمنيين لتحليل الهجوم.

الأسئلة الشائعة

ما الذي تسبب في استغلال Bonzo Lend في 11 يوليو؟
حدث الاستغلال عندما قدم مهاجم تحديثًا لسعر رمز SAUCE بتوقيع مُصفَّر قبله مُتحقِّق أوراكل تابع لجهة خارجية لدى Supra بشكل غير صحيح باعتباره صالحًا. أدى ذلك إلى تضخيم سعر SAUCE بنحو اثني عشر أمرًا من حيث المقدار، والاقتراض بما يقارب 9.05 ملايين دولار مقابل ضمان بقيمة لا تتجاوز جزءًا صغيرًا من القروض التي تم أخذها.

كيف استجابت Hedera وSupra لاستغلال الأوراكل؟
أكدت Hedera أن الحادثة كانت معزولة في مُتحقِّق الأوراكل الخارجي، وقالت إن إجماع الشبكة وخدماتها الأساسية لم يتم المساس بها. أقرت Supra بثغرة التحقق ونشرت إصلاحًا للعقد المتأثر على شبكة Hedera الرئيسية، وتعمل مع باحثين أمنيين لتحليل الهجوم.

ماذا حدث لإجمالي القيمة المقفلة في Bonzo Lend بعد الاستغلال؟
انخفض إجمالي القيمة المقفلة في Bonzo Lend من نحو 14.3 مليون دولار في 10 يوليو إلى حوالي 3.2 مليون دولار بحلول 12 يوليو، أي انخفاض بنحو 78 بالمئة وفقًا لبيانات DefiLlama. أوقف البروتوكول منتجي Lend وPoints بينما ما زالت تعمل منتجات Vaults وBridge وعمليات staking.