Hederaネットワーク上の貸付プロトコルであるBonzo Lendは、7月11日に攻撃者がSupraのサードパーティ製オラクル・ベリファイアの不具合を悪用したことで、約905万ドルを失いました。攻撃者は、ゼロ化された署名を提出することで不正に検証されたものを、検証器を通してSAUCEトークンの偽の価格更新として押し込みました。その結果、SAUCEの価格は約12桁分（オーダー）も膨らみました。この悪用により、借り入れの一部に相当する価値しかない担保に対して攻撃者が借り入れできるようになり、プロトコルの貸付プールが流出しました。Hederaは、この事案は外部オラクル・ベリファイアに限定されており、ネットワークのコンセンサスや中核サービスは侵害されなかったと確認しました。Supraは検証の不具合を認め、Hederaメインネット上の影響を受けたコントラクトに修正を展開しました。
7月11日に攻撃者がSupraオラクル・ベリファイアを悪用
攻撃は7月11日の約00:51 UTCに始まったと、Bonzoのインシデント報告書が伝えています。チームはWallet Aというラベルの付いたウォレットが、ゼロ化された署名で署名された価格更新を提出し、Supraのベリファイアがそれを有効として受け入れたとしています。この更新では、SAUCEの価格を「30個のゼロに続く1」に設定しており、市場実勢価格の約0.2 HBARに対して、トークンの価値を約12桁分（オーダー）膨らませました。この水準でSAUCEの担保が評価されると、ウォレットはプロトコルの貸付プールを流出させました。
ゼロ化された署名が検証プロセスをすり抜け
Bonzoの報告書は、Supraのベリファイアが署名を確認する方法に、どこで失敗したのかをたどっています。「ペアリングのプリコンパイルに対して、特定の方程式が成り立つかどうかが尋ねられ、それは正しく『はい』と答えました。Supraのベリファイアはその『はい』を、存在していない有効な委員会の署名の証明として扱ったのです」と報告書にはあります。チームは、自社のコントラクトが担保の価格設定と借入可能額の計算を、コードどおり正確に行っていたと強調しました。「いかなる時点でもBonzo Lendのコントラクトが誤動作したことはありませんでした」。Hederaはその説明を裏付け、失敗はオラクル層の上流で発生しており、ネットワークのコンセンサスや中核サービスは侵害されていないと述べました。
ホワイトハットのウォレットが100万ドル返還を約束
2つ目のウォレットは、同じ欠陥を使って約100万ドルを取得しました。そのウォレットはその後チームに連絡し、自分はホワイトハットの対応者だと名乗り、資金を返すことを約束したとBonzoは述べています。チームはこの金額を主要な損失の数値から除外しています。
TVLが78%下落する中、Bonzoは製品を停止
Bonzoは、悪用後にLendとPointsの製品を停止しました。一方でVaults、Bridge、ステーキングの製品は引き続き稼働しています。DefiLlamaのデータによると、プロトコル内の総ロック額（TVL）は7月10日の約1,430万ドルから7月12日には約320万ドルまで下落し、約78%の下落でした。チームは、ホワイトハットの対応者と資金返還に向けて連携しており、停止の解除と流動性提供者向けの出金再開の条件を詰めているとしています。SupraはHederaメインネット上の影響を受けたコントラクトに修正を展開し、セキュリティ研究者とともに攻撃の分析に取り組んでいます。
FAQ
7月11日のBonzo Lendの悪用の原因は何でしたか？
攻撃者が、Supraのサードパーティ製オラクル・ベリファイアが不正に有効として受け入れた、ゼロ化された署名付きのSAUCEトークンの価格更新を提出したことで悪用が成立しました。これにより、攻撃者はSAUCEの価格を約12桁分（オーダー）膨らませ、また取得した融資の一部に相当する価値の担保に対して約905万ドルを借り入れることができました。
HederaとSupraはオラクルの悪用にどう対応しましたか？
Hederaは、事案が外部オラクル・ベリファイアに限定されており、ネットワークのコンセンサスおよび中核サービスは侵害されていないと確認しました。Supraは検証の不具合を認め、Hederaメインネット上の影響を受けたコントラクトに修正を展開し、現在セキュリティ研究者とともに攻撃の分析に取り組んでいます。
悪用後、Bonzo Lendの総ロック額（TVL）はどうなりましたか？
Bonzo Lendの総ロック額（TVL）は、7月10日の約1,430万ドルから7月12日には約320万ドルまで下落し、DefiLlamaのデータによれば約78%の下落でした。プロトコルはLendとPointsの製品を停止しましたが、Vaults、Bridge、ステーキングの製品は稼働を継続しています。
