- Atacante depositou 250 tokens SAUCE e sacou US$ 9,05 milhões em oito segundos
- Falha estava no contrato oráculo da Supra que aceitou assinatura BLS inválida
- TVL da Hedera caiu quase 40% e Bonzo suspendeu o protocolo
A Bonzo Finance, protocolo de empréstimos construído sobre a rede Hedera, perdeu cerca de US$ 9,05 milhões em um ataque que explorou falha de verificação em um contrato oráculo de terceiros. A operação, executada no dia 11 de julho, transformou 250 tokens SAUCE avaliados em poucos dólares em milhões em stablecoins e HBAR embrulhado, em apenas oito segundos.
O vetor não estava no código da Bonzo, mas no feed de preços fornecido pela Supra Labs. Segundo o relatório preliminar publicado pela equipe do protocolo, o atacante depositou os tokens SAUCE como colateral e, em seguida, submeteu uma atualização de preço manipulada que inflou artificialmente o valor do ativo denominado em HBAR. Com o colateral falsamente valorizado, a conta tomou emprestado 6,63 milhões de USDC e 34,52 milhões de wHBAR.
Assinatura BLS inválida abriu a porta
A Supra Labs publicou seu próprio laudo do incidente e atribuiu a falha a uma assinatura BLS degenerada combinada com chave pública de valor zero dados que o verificador da Hedera aceitou indevidamente para o único feed SAUCE/wHBAR. A empresa afirmou que o núcleo de agregação do oráculo e os demais feeds não foram afetados.
Enquanto o preço fictício permanecia ativo na rede, uma segunda carteira aproveitou a janela e tomou cerca de US$ 1 milhão adicional em empréstimos. Esse endereço posteriormente entrou em contato com a Bonzo pelo Discord, identificou-se como white-hat e prometeu devolver os fundos. Com essa segunda operação, o total de empréstimos anômalos chegou a aproximadamente US$ 10,06 milhões antes da devolução parcial.
Um pesquisador de segurança que dissecou as transações apontou que mais de US$ 5,25 milhões foram movidos para o Ethereum via bridge da LayerZero e convertidos em ETH em questão de horas. A rota é padrão em ataques recentes, fragmentar o rastro antes que exchanges centralizadas consigam congelar os endereços marcados. A Bitnotícias já havia mapeado essa mesma dinâmica quando Hedera sofreu exploit e US$ 5,25 milhões foram parar no Ethereum.
TVL da Hedera desaba 40% em 24 horas
O impacto extrapolou o balanço da Bonzo. O valor total bloqueado em toda a rede Hedera caiu quase 40% em 24 horas após o exploit, refletindo saques em massa de usuários receosos com o efeito dominó em outros protocolos que consomem feeds da Supra. O TVL da própria Bonzo derreteu 77% no mesmo intervalo. Dados do DefiLlama mostram o protocolo agora com apenas US$ 3,06 milhões travados sombra do porte anterior ao ataque.
A Bonzo suspendeu o protocolo por meio de comunicado no X e mantém as operações paralisadas enquanto conduz o trabalho de recuperação. Não houve, até o fechamento desta matéria, qualquer promessa formal de compensação para credores afetados.
Padrão repete vulnerabilidade em oráculos de cadeia menor
O episódio se soma à lista crescente de exploits que dispensam falhas no contrato principal do protocolo e miram peças auxiliares oráculos, bridges e adaptadores. Para o investidor brasileiro que se expõe a DeFi em redes fora do trio Ethereum/Solana/BNB Chain, o alerta é direto, o risco de contraparte técnica não termina no protocolo escolhido. Cada dependência externa importa. Redes com menos protocolos ativos, como a Hedera, sofrem mais quando um único fornecedor de dados falha, porque não há redundância suficiente para diluir o choque.
O contexto local também pesa. A CVM ainda trata protocolos DeFi como zona cinzenta, e usuários brasileiros que operam em plataformas como a Bonzo dependem exclusivamente do próprio processo de due diligence técnica sem qualquer garantia regulatória ou fundo de reserva. Casos como este reforçam a assimetria entre a promessa de rendimentos elevados em cadeias emergentes e a fragilidade da infraestrutura que sustenta esses retornos. O ecossistema Hedera, que vinha ganhando tração institucional em 2026, agora precisa reconstruir confiança justamente na camada mais sensível do stack DeFi.
A Bonzo prometeu publicar um relatório técnico completo nos próximos dias. O site oficial da Supra Labs também mantém a página do incidente aberta para atualizações sobre o cronograma de correção do verificador afetado.
