Bonzo Lend توقف مجمع Hedera بعد استغلال أوراكل بقيمة 9.05 مليون دولار
قالت Bonzo Finance Labs إن خللا في تحقق أوراكل Supra طرف ثالث سمح لـ Wallet A باقتراض نحو 9.05 مليون دولار من Bonzo Lend بعد تحديث سعر SAUCE متلاعب به. ولا يزال مجمع الإقراض على Hedera متوقفا، ولم تنشر Bonzo شروط التعويض أو موعد السحب أو حساب الاسترداد النهائي.
أوقفت Bonzo Lend مجمع الإقراض على Hedera بعد استغلال في التحقق من أوراكل سمح لمحفظة باقتراض أصول تتجاوز بكثير قيمة ضمان SAUCE المودع.
قالت Bonzo Finance Labs، في تقرير نشرته بالتنسيق مع Bonzo Finance Foundation، إن الحادث وقع في 11 يوليو 2026 على Hedera mainnet. ونسب تقرير الحادث الرسمي الاستغلال إلى مسار تحقق في أوراكل Supra طرف ثالث، وليس إلى كود مجمع الإقراض في Bonzo Lend.
Bonzo Lend توقف مجمع إقراض Hedera بعد استغلال الأوراكل
قال التقرير إن Bonzo Lend متوقفة وستبقى كذلك بينما تحدد Bonzo Finance Labs وBonzo Finance Foundation متى يمكن رفع الإيقاف ومتى يمكن لمزودي السيولة السحب. كما تم إيقاف Bonzo Points، بينما أدرج التقرير Bonzo Vaults وBonzo Bridge والتخزين الأحادي $BONZO/$XBONZO على أنها غير متأثرة.
قال تقرير Bonzo إن الفاعل الأساسي، المشار إليه باسم Wallet A، أودع 250 SAUCE قبل قبول تحديث سعر متلاعب به في عقد الأوراكل عند الطلب التابع لطرف ثالث. وقال التقرير إن السعر غير الطبيعي جعل إيداع SAUCE الصغير يبدو أكثر قيمة بكثير لدى Bonzo Lend مما كان عليه فعليا.
في 00:51 UTC يوم 11 يوليو 2026، قدمت Wallet A تحديث السعر المتلاعب به للزوج 425، وفق الجدول الزمني في التقرير. وقال التقرير الرسمي إن الحساب اقترض بعد ذلك 6,634,528.202695 USDC و34,518,389.36109841 WHBAR من Bonzo Lend خلال ثوان.
تقرير Bonzo يستشهد بتحقق الأوراكل بتوقيع صفري
قالت Bonzo Finance Labs إن مدقق الأوراكل قبل دليلا لا يحمل توقيعا صالحا. وذكر التقرير أن التحديث المقدم أشار إلى committee ID 2 وحمل قيمة توقيع صفرية [0,0] في الحقل الذي كان ينبغي أن يحتوي على توقيع BLS للجنة.
قال التقرير إن Hedera pairing precompile، وهو system contract 0.0.8، أعاد القيمة true لأن نقطة التوقيع المقدمة ومفتاح اللجنة العام المشار إليه كانا صفريين. وقالت Bonzo Finance Labs إن الخطوة المفقودة كانت رفض مدخلات الصفر والهوية وخارج المجموعة قبل التعامل مع نتيجة pairing صحيحة كأنها توقيع لجنة صالح.
قال تقرير Bonzo إن Supra أقرت بالمشكلة ونشرت إصلاحا لعقد التحقق المتأثر على Hedera mainnet. وقال التقرير أيضا إن Bonzo Lend قرأت قيمة الأوراكل المسجلة، وحسبت قيمة الضمان وقدرة الاقتراض من تلك القيمة، ولم تقدم أي شيء إلى التغذية نفسها.
Wallet A تقترض 6,634,528.202695 USDC و34,518,389.36109841 WHBAR
قال التقرير الرسمي إن كل الأرقام المدرجة استخدمت سعر HBAR مرجعيا قدره 0.06998 دولار واعتبرت USDC مساويا لـ 1.00 دولار. وقالت Bonzo Finance Labs إن أصل المبلغ المستخرج من Wallet A بلغ نحو 9.05 مليون دولار، بينما بلغ إجمالي الأصل المقترض أثناء الحادث نحو 10.06 مليون دولار قبل عناصر الاسترداد.
اقترض حساب ثان، Wallet B، نحو 1.0 مليون دولار بينما كان السعر غير الطبيعي نشطا. وقال تقرير Bonzo إن Wallet B تواصلت مع الفريق عبر Discord، وعرفت نفسها كمستجيب white-hat وقالت إنها تعتزم إعادة الأموال. واستبعدت Bonzo اقتراض Wallet B من تقدير الخسارة الرئيسي لأنها تتعامل معه كمسألة استرداد.
قال الجدول الزمني بتوقيت UTC في تقرير Bonzo إن 01:36 كان وقت عودة السعر إلى طبيعته، وإن 01:41 كان وقت إيقاف Bonzo Lend، وإن 05:50 كان وقت إيقاف Bonzo Points. وقال أيضا إن التقديم المتلاعب به استخدم المعاملة 0.0.995584-1783731093-686041919.
لم تفصح Bonzo Finance Labs عن خطة تعويض، أو حساب خسارة نهائي، أو جدول زمني للسحب، أو شروط رفع إيقاف مجمع الإقراض، أو إجمالي الأصول المستردة، أو تسوية مكتملة لعودة الأموال التي ذكرتها Wallet B.
Summary version for Medium
Bonzo Lend Pauses Hedera Pool After $9.05 Million Oracle Exploit
What the move signals for regulated finance and digital payments
Quick Summary: Bonzo Finance Labs said a third-party Supra oracle verification flaw let Wallet A borrow about $9.05 million from its Hedera lending pool after a manipulated SAUCE price update. The pool remains paused while reimbursement terms, withdrawal timing and final recovery accounting stay outside the public record.
Hedera Lending Pool Pauses After Oracle Exploit
The lending pool is paused while the lab and foundation decide when liquidity providers can withdraw and when normal operation can resume. Bonzo Points is also paused, while Vaults, Bridge and single-sided $BONZO/$XBONZO staking were listed as unaffected.
Zero-Signature Oracle Verification Drove The Borrowing
The oracle verifier accepted a proof with no valid signature.
- Point 1: The central topic is fintech-digital-payments, with the announcement framed around concrete operating detail.
- Point 2: The submitted update referenced committee ID 2 and carried a zeroed signature value of [0,0] where the committee's BLS signature should have appeared.
The useful takeaway is the operating constraint behind the announcement, not the announcement alone.
Wallet A Borrowed $9.05 Million In Principal
The official report said all listed figures used an HBAR reference price of $0.06998 and treated USDC as $1.00. The official report said Wallet A's extracted principal was approximately $9.05 million, while total principal borrowed during the incident was approximately $10.06 million before recovery items.
Read the Full Deep Dive
Want to explore the complete technical analysis, enterprise trade-offs, and detailed metrics?
Read the full article originally published at SendTech Times
