- Supra atualizou oráculo em 11 redes entre 29 de junho e 3 de julho
- Contrato na Hedera ficou sem patch e foi drenado em US$ 9 milhões
- Bonzo Lend confirma que atacante inflou colateral via preço distorcido
A Supra Network, desenvolvedora de infraestrutura de oráculos que se apresenta como ativa em 67 mainnets, corrigiu silenciosamente uma falha crítica em 11 blockchains entre os dias 29 de junho e 3 de julho. Uma rede, porém, ficou de fora, a Hedera. Foi justamente lá que, no fim de semana, o protocolo de empréstimo Bonzo Lend sofreu um exploit de US$ 9 milhões com mais US$ 1 milhão recuperado por um white-hat.
O caso escancara um problema recorrente do DeFi, quando um provedor de oráculo aplica um patch em várias redes mas deixa uma implantação para trás, o resultado tende a ser catastrófico. E foi.
Como o atacante drenou Bonzo Lend
Segundo a explicação publicada pelo Bonzo Lend, o oráculo aceitou uma precificação extrema do ativo usado como colateral pelo atacante. Com o valor artificialmente inflado, o invasor tomou emprestado um montante muito superior ao que o colateral realmente valia e sumiu com a liquidez do protocolo.
A técnica não é nova. Ataques de manipulação de oráculo têm sido uma das principais vias de drenagem em plataformas de lending, justamente porque o preço do colateral é o parâmetro que define quanto o usuário pode sacar. Basta distorcer esse número por alguns segundos.
Cerca de 12 horas depois do incidente, a Supra divulgou um relatório oficial classificando o bug como um “caso extremo criptográfico”. O documento afirma que a empresa revisou todas as implantações que compartilham o mesmo padrão de verificador, mas não menciona que já havia corrigido a falha em outras redes nos dias anteriores.
Tomachi Anura rastreia 11 upgrades anteriores
O silêncio durou pouco. O fundador da HSuite, Tomachi Anura, mapeou a atividade on-chain da Supra e detalhou o que chamou de “rollout cross-chain de correção”. O levantamento aponta upgrades de proxy em 11 blockchains começando pela Base em 29 de junho e terminando na Polygon em 3 de julho. Duas atualizações adicionais, na Hedera e na Fuse, só foram aplicadas depois que o ataque aconteceu.
Anura destaca que, embora alguns endereços de upgrade variem, todos os contratos verificados resolvem para o mesmo SupraSValueFeedVerifier com 17.354 caracteres ou seja, o patch existia e foi replicado sistematicamente. A dúvida que sobra, por que a fila parou em 3 de julho, deixando a Hedera exposta por quase duas semanas?
Antes da divulgação de Anura, o CEO e cofundador da Supra, Josh Tobkin, atribuiu a descoberta da falha a “hacking assistido por IA”, afirmando que a inteligência artificial teria encontrado “o que olhos humanos deixaram passar por dois anos”. A explicação, porém, não responde à sequência dos upgrades.
Oráculos acumulam perdas em 2026
O episódio se soma a um histórico ruim para provedores de oráculo. Nos últimos meses, exploits semelhantes causaram US$ 3,5 milhões, Claude teria coautorado mudança no oráculo Moonwell.
Nem sempre o problema é uma invasão. Em março, falha no oráculo da Chaos Labs causou US$ 27 milhões em liquidações de wstETH. E, mais recentemente, a própria Aave voltou a lidar com falhas do tipo, o que evidencia a fragilidade sistêmica do setor.
Bonzo Lend engrossa lista de vítimas em 2026
Para o investidor brasileiro que opera em protocolos de lending descentralizados, o caso Bonzo reforça uma tese conhecida, risco de smart contract não se limita ao código do próprio protocolo. Ele se estende à cadeia inteira de dependências e oráculos são o elo mais crítico, porque definem preço. A CVM não regula explicitamente DeFi, e ataques desse tipo deixam investidores sem cobertura ou seguro no Brasil.
O padrão também se alinha ao que a LayerZero enfrentou recentemente com carteiras de executores: infraestrutura cross-chain concentra risco em pontos únicos de falha. A Supra afirma ter revisado todas as implantações remanescentes. A resposta sobre por que a Hedera não entrou na primeira leva de patches ainda não veio.
