A Bonzo Lend, protocolo de empréstimos na Hedera, pausou operações após um exploit de oráculo que inflou o preço do SAUCE e permitiu empréstimos excessivos. O relatório preliminar aponta cerca de US$ 9 milhões em ativos afetados e diz que a falha veio do verificador da Supra, não dos contratos de lending da Bonzo.
A Bonzo Lend, protocolo de lending do ecossistema Hedera, pausou suas operações neste sábado (11) após um exploit de oráculo permitir que um atacante inflasse artificialmente o preço do token SAUCE e tomasse milhões de dólares em empréstimos. Segundo o relatório preliminar publicado pela Bonzo Finance Labs, o incidente envolveu uma atualização de preço manipulada aceita pelo verificador da Supra.
O caso importa porque expõe um ponto sensível para protocolos DeFi: mesmo contratos funcionando como desenhados podem quebrar quando a camada de preço entrega dados incorretos. A Crypto Briefing e o Cointelegraph reportaram perdas próximas de US$ 9 milhões, enquanto a própria Bonzo detalhou uma sequência de saques em USDC e wHBAR após o preço anormal ser gravado on-chain.
Como o exploit aconteceu
De acordo com a timeline da Bonzo, a carteira atacante depositou 250 SAUCE como colateral às 00:39 UTC de 11 de julho. Poucos minutos depois, ela enviou uma atualização de preço para o par SAUCE/wHBAR que inflou o valor do ativo em cerca de 12 ordens de magnitude, permitindo que o protocolo calculasse um poder de empréstimo muito acima do real.
Com o preço falso ativo, a carteira tomou 6,63 milhões de USDC e 34,5 milhões de wHBAR da Bonzo Lend. A equipe afirmou que seus contratos leram o preço publicado pelo oráculo e executaram as regras normais do protocolo, enquanto a falha estaria no processo de verificação de assinatura da Supra, que teria tratado uma assinatura BLS zerada como válida.
A Bonzo disse ainda que o exploit não dependeu de flash loans nem de uma oscilação real no mercado do SAUCE. Isso diferencia o caso de ataques clássicos de manipulação de preço em pools pouco líquidas: aqui, o problema central foi a aceitação de um dado externo incorreto, não uma movimentação legítima no preço de mercado.
O que foi pausado
Após o incidente, a Bonzo pausou a Bonzo Lend e o sistema de Bonzo Points. A equipe afirmou que Bonzo Vaults, Bonzo Bridge e staking de BONZO/XBONZO não foram afetados. A Supra, segundo o comunicado, já teria reconhecido a vulnerabilidade e implantado correção no verificador afetado.
O relatório também cita uma segunda carteira, identificada como Wallet B, que tomou cerca de US$ 1 milhão em ativos enquanto o preço anormal ainda estava ativo. Essa carteira depois teria se apresentado como participante white-hat e oferecido a devolução dos fundos, com negociação separada de recuperação em andamento.
Por que isso pesa para a Hedera e o DeFi
A Hedera vinha ganhando espaço em narrativas de liquidez e tokenização, inclusive com movimentos como a chegada de WBTC ao DeFi da Hedera. Um incidente no principal protocolo de lending da rede não invalida essa tese, mas aumenta a pressão por auditorias mais profundas em integrações críticas, especialmente oráculos e verificadores externos.
Para usuários, a leitura prática é simples: risco de protocolo não está apenas no contrato visível em que o usuário deposita fundos. Ele também passa por dependências como oráculos, bridges, bibliotecas criptográficas e mecanismos de liquidação. Como o CriptoBR já destacou na matéria sobre alertas de IA para hacks bilionários em DeFi, a superfície de ataque fica maior quando diferentes módulos passam a confiar uns nos outros de forma automática.
O episódio se soma a um ano pesado para segurança DeFi. Em junho, o CriptoBR reportou que hacks em DeFi já miravam falhas em bridges e infraestrutura, reforçando que a próxima fronteira de proteção não é só bloquear bugs de contrato, mas limitar o dano quando uma dependência externa falha.
A Bonzo disse que publicará novas atualizações sobre reembolsos, retiradas e remediação após avançar na investigação. Até lá, a pausa funciona como contenção: protege o protocolo contra novas interações, mas deixa usuários esperando clareza sobre quanto poderá ser recuperado e em qual prazo.
Oliver Andrade é jornalista, empreendedor e uma das vozes mais ativas do ecossistema cripto brasileiro. Aos 32 anos, casado e pai, concilia a vida pessoal com uma trajetória intensa no mercado de ativos digitais que começou em 2020 — quando...
