Giao thức cho vay Bonzo mất 77% TVL sau vụ khai thác oracle $9 triệu trên Hedera

Bonzo Finance bị khai thác, thiệt hại hơn 9 triệu USD

Giao thức cho vay Bonzo Finance trên mạng Hedera vừa hứng chịu một vụ tấn công nghiêm trọng, với tổng thiệt hại ước tính khoảng 9,05 triệu USD. Đây là một trong những sự cố bảo mật đáng chú ý nhất trên hệ sinh thái Hedera từ trước đến nay.

Lỗ hổng đến từ oracle bên thứ ba

Theo thông tin ban đầu, kẻ tấn công đã nhắm vào lỗ hổng xác minh trong hợp đồng oracle của Supra — một nhà cung cấp dữ liệu giá bên thứ ba được Bonzo tích hợp để định giá tài sản thế chấp. Bằng cách thao túng hoặc giả mạo dữ liệu đầu vào từ oracle, kẻ tấn công có thể tạo ra sai lệch về giá trị tài sản, từ đó rút ra các khoản vay vượt quá mức thế chấp thực tế.

Lỗ hổng dạng này — thường được gọi là oracle manipulation hoặc oracle exploit — là một trong những véc-tơ tấn công phổ biến nhất trong không gian DeFi, đặc biệt với các giao thức cho vay phụ thuộc vào nguồn giá bên ngoài.

TVL lao dốc 77%

Hậu quả trực tiếp của vụ khai thác là tổng giá trị bị khóa (TVL) của Bonzo sụt giảm 77%, phản ánh lượng thanh khoản bị rút ra hoặc mất mát sau sự cố. Trước vụ tấn công, Bonzo được xem là một trong những giao thức cho vay có triển vọng trên Hedera — blockchain sử dụng cơ chế đồng thuận Hashgraph và định vị mình là giải pháp thay thế hiệu suất cao cho các L1 truyền thống.

Tác động đến hệ sinh thái Hedera

Vụ việc gây ra lo ngại đáng kể trong cộng đồng DeFi trên Hedera (HBAR), đặt ra câu hỏi về quy trình kiểm toán hợp đồng thông minh và tiêu chuẩn tích hợp oracle của các dự án trong hệ sinh thái này. Phía Supra Oracle và nhóm phát triển Bonzo chưa đưa ra thông báo chính thức đầy đủ về nguyên nhân kỹ thuật cụ thể cũng như lộ trình bồi thường cho người dùng bị ảnh hưởng tại thời điểm bài viết.

Bối cảnh rộng hơn

Các vụ tấn công nhắm vào oracle không phải hiện tượng mới trong DeFi. Nhiều giao thức lớn trước đây như Mango Markets, Synthetix, hay Venus Protocol từng ghi nhận thiệt hại nặng nề từ dạng khai thác tương tự. Giới chuyên gia bảo mật blockchain thường nhấn mạnh tầm quan trọng của việc sử dụng oracle phi tập trung đa nguồn (như Chainlink) và áp dụng circuit breaker — cơ chế tự động dừng hoạt động khi phát hiện biến động giá bất thường.

Vụ việc tại Bonzo một lần nữa cho thấy rủi ro hệ thống mà các giao thức DeFi phải đối mặt khi phụ thuộc vào cơ sở hạ tầng bên ngoài chưa được kiểm chứng đầy đủ.