DeFi · ✦ AI tổng hợp
Bonzo Lend mất 9 triệu USD do lỗ hổng oracle trên mạng Hedera
Giao thức cho vay Bonzo Lend trên Hedera bị khai thác 9 triệu USD sau khi kẻ tấn công lợi dụng lỗ hổng trong trình xác minh oracle on-chain của Supra để thổi phồng giá trị tài sản thế chấp SAUCE. Đây là một trong những vụ tấn công oracle đáng chú ý nhất trên hệ sinh thái Hedera từ trước đến nay.
Bonzo Lend bị khai thác 9 triệu USD qua lỗ hổng oracle trên Hedera
Giao thức cho vay phi tập trung Bonzo Lend trên mạng Hedera vừa trở thành nạn nhân của một vụ tấn công oracle, khiến dự án thiệt hại khoảng 9 triệu USD. Kẻ tấn công đã lợi dụng lỗ hổng trong trình xác minh oracle on-chain của Supra để thực hiện hành vi thao túng giá.
Cơ chế tấn công
Theo thông tin ban đầu, kẻ tấn công đã thổi phồng giá trị của token SAUCE — loại tài sản được dùng làm thế chấp trên nền tảng Bonzo Lend. Bằng cách khai thác sai sót trong cơ chế xác thực dữ liệu giá của Supra, kẻ xấu đã khiến hệ thống ghi nhận giá trị tài sản thế chấp cao hơn thực tế, từ đó vay được lượng tài sản trị giá 9 triệu USD mà không có đủ bảo đảm thực chất.
Đây là dạng tấn công oracle manipulation — một véc-tơ tấn công phổ biến trong lĩnh vực DeFi, khi giao thức phụ thuộc vào nguồn cấp dữ liệu giá bên ngoài mà không có cơ chế kiểm tra chéo đủ mạnh.
Hệ sinh thái Hedera bị ảnh hưởng
Hedera là mạng lưới sử dụng cơ chế đồng thuận Hashgraph, thường được định vị là giải pháp thay thế cho các blockchain truyền thống với tốc độ giao dịch cao và phí thấp. Tuy nhiên, vụ việc lần này cho thấy các giao thức DeFi xây dựng trên Hedera cũng đối mặt với những rủi ro bảo mật tương tự các hệ sinh thái khác nếu hạ tầng oracle không được kiểm toán kỹ lưỡng.
Bonzo Lend là một trong những giao thức cho vay nổi bật trên Hedera, cho phép người dùng ký gửi và vay tài sản thông qua các hợp đồng thông minh. Vụ tấn công ảnh hưởng trực tiếp đến thanh khoản và niềm tin của cộng đồng vào nền tảng này.
Vai trò của Supra Oracle
Supra là nhà cung cấp dữ liệu oracle đa chuỗi, cung cấp nguồn cấp giá cho nhiều giao thức DeFi trên các mạng khác nhau. Lỗ hổng được xác định nằm ở trình xác minh oracle on-chain — thành phần chịu trách nhiệm kiểm tra và phê duyệt dữ liệu giá trước khi đưa vào hệ thống.
Việc một lỗ hổng ở lớp hạ tầng oracle dẫn đến thiệt hại trực tiếp cho giao thức phía trên một lần nữa đặt ra câu hỏi về trách nhiệm bảo mật giữa các nhà cung cấp dịch vụ hạ tầng và các giao thức sử dụng dịch vụ đó.
Bối cảnh rộng hơn
Các vụ tấn công oracle tiếp tục là một trong những nguyên nhân gây thất thoát lớn nhất trong DeFi. Theo dữ liệu từ nhiều công ty bảo mật blockchain, thao túng oracle chiếm tỷ trọng đáng kể trong tổng giá trị bị đánh cắp qua các vụ hack DeFi hàng năm.
Hiện tại, Bonzo Lend và Supra chưa công bố chi tiết đầy đủ về kế hoạch xử lý hậu quả hay bồi thường cho người dùng bị ảnh hưởng. Cộng đồng đang chờ đợi thông báo chính thức từ cả hai bên.
/ Bài viết liên quan
Ostium tạm dừng giao dịch sau vụ khai thác 18,4 triệu USD từ khóa oracle bị xâm phạm
Sàn giao dịch hợp đồng vĩnh cửu Ostium trên Arbitrum đã tạm dừng toàn bộ hoạt động sau khi bị khai thác 18,4 triệu USD. Vụ tấn công không xuất phát từ lỗ hổng smart contract mà từ khóa riêng tư oracle ngoài chuỗi bị xâm phạm, cho phép kẻ tấn công thao túng dữ liệu giá đầu vào của hệ thống.
DEX Arcus mở rộng với cổ phiếu token hóa và hợp đồng vĩnh viễn trên Robinhood Chain
Arcus, sàn giao dịch phi tập trung do đội ngũ dYdX xây dựng và được Robinhood hậu thuẫn, vừa mở rộng nền tảng với việc tích hợp cổ phiếu token hóa và hợp đồng tương lai vĩnh viễn (perpetual futures) trên Robinhood Chain. Động thái này diễn ra trong bối cảnh các nền tảng DeFi đang chạy đua đưa tài sản truyền thống lên onchain.
Morpho ra mắt giao thức cho vay lãi suất cố định Midnight trên Base
Morpho vừa triển khai Morpho Midnight — giao thức cho vay lãi suất cố định với kỳ hạn xác định — trên mạng Base. Sản phẩm mới bổ sung cho Morpho Blue vốn đang hoạt động theo mô hình lãi suất biến đổi, mở rộng danh mục DeFi lending của giao thức này.
Hyperliquid ra mắt HIP-4: Thị trường không cần cấp phép, yêu cầu stake 500K HYPE
Hyperliquid vừa triển khai nâng cấp HIP-4, cho phép tạo thị trường giao dịch mà không cần xin phép (permissionless markets), với điều kiện người dùng phải stake tối thiểu 500.000 token HYPE. Thị trường dự báo hiện ghi nhận xác suất 29,5% cho khả năng giá HYPE đạt 100 USD vào cuối năm 2026.