Một giao thức cho vay có thể vận hành đúng theo mã nguồn nhưng vẫn mất hàng triệu USD nếu dữ liệu đầu vào bị sai lệch. Sự cố tại Bonzo Lend là ví dụ mới nhất cho thấy oracle vẫn là một trong những điểm yếu nguy hiểm nhất của hệ sinh thái tài chính phi tập trung.
Bonzo Lend, giao thức lending hoạt động trên mạng Hedera, ghi nhận thiệt hại ước tính khoảng 9,05 triệu USD sau khi một kẻ tấn công khai thác lỗi xác minh trong hợp đồng oracle của Supra. Lỗ hổng cho phép đối tượng đưa giá SAUCE giả lên blockchain, biến lượng tài sản thế chấp chỉ trị giá vài USD thành khoản bảo đảm có giá trị khổng lồ.
Sau sự cố, tổng giá trị tài sản bị khóa của Bonzo giảm mạnh, đồng thời kéo TVL toàn bộ hệ sinh thái DeFi trên Hedera đi xuống.
Kẻ tấn công dùng 250 SAUCE để vay hàng triệu USD
Theo báo cáo sơ bộ được Bonzo Finance Labs công bố ngày 11/7/2026, ví tấn công ban đầu gửi 250 SAUCE vào Bonzo Lend làm tài sản thế chấp. Số token này chỉ có giá trị thực tế vài USD tại thời điểm xảy ra sự cố.
Đối tượng sau đó gửi một bản cập nhật giá đã bị thao túng vào hợp đồng pull oracle của Supra dành cho cặp SAUCE/wHBAR. Giá SAUCE trong dữ liệu giả cao hơn giá thị trường thực tế khoảng 12 bậc độ lớn.
Trong khi SAUCE đang được giao dịch quanh mức 0,2 HBAR, giá trị do kẻ tấn công gửi lên oracle lớn đến mức khiến Bonzo Lend đánh giá 250 SAUCE là một khoản thế chấp cực kỳ lớn. Chỉ tám giây sau khi dữ liệu giá giả được ghi nhận trên chuỗi, đối tượng bắt đầu rút thanh khoản khỏi giao thức.
Ví này đã vay:
- Khoảng 6,63 triệu USDC;
- Hơn 34,51 triệu wrapped HBAR.
Với mức giá tham chiếu 0,06998 USD cho mỗi HBAR được Bonzo sử dụng trong báo cáo, tổng giá trị tài sản mà ví tấn công chính rút khỏi giao thức vào khoảng 9,05 triệu USD.
Lỗi nằm trong quá trình xác minh dữ liệu của Supra
Bonzo khẳng định sự cố không bắt nguồn từ lỗi trong hợp đồng lending của giao thức. Các hợp đồng của Bonzo vẫn tính toán hạn mức vay đúng theo dữ liệu giá mà chúng nhận được.
Vấn đề xuất hiện ở lớp hạ tầng phía trước, cụ thể là hợp đồng xác minh oracle của Supra trên Hedera. Hợp đồng này đã chấp nhận một bản cập nhật giá không có chữ ký hợp lệ, sau đó ghi dữ liệu giả lên blockchain để các giao thức khác sử dụng.
Supra cho biết kẻ tấn công đã sử dụng một mã định danh committee nằm ngoài phạm vi committee hợp lệ. Việc tra cứu từ mã định danh này trả về khóa công khai có giá trị bằng 0.
Đối tượng đồng thời gửi một chữ ký BLS cũng có giá trị bằng 0. Do hợp đồng xác minh không loại bỏ các phần tử đặc biệt này trước khi thực hiện phép kiểm tra pairing, chữ ký giả vẫn được hệ thống đánh giá là hợp lệ về mặt toán học.
Điều này không đồng nghĩa với việc kẻ tấn công giả mạo được chữ ký thật của Supra. Theo báo cáo của nhà cung cấp oracle, hệ thống tính toán, tổng hợp và ký giá ngoài chuỗi không bị xâm nhập. Lỗ hổng chỉ nằm trong cách hợp đồng xác minh trên Hedera xử lý khóa và chữ ký có giá trị rỗng.
Supra sau đó đã cập nhật hợp đồng để từ chối những committee không có khóa đăng ký, chữ ký bằng 0, khóa công khai không hợp lệ và các điểm không nằm trong nhóm mật mã được yêu cầu. Công ty cũng cho biết đã kiểm tra những triển khai oracle khác sử dụng cùng mô hình xác minh.
Ví thứ hai vay thêm khoảng 1 triệu USD
Trong khoảng thời gian giá SAUCE giả vẫn còn hiệu lực, một ví khác đã gửi SAUCE vào Bonzo và vay thêm khoảng 1 triệu USD tài sản.
Ví này sau đó chủ động liên hệ với nhóm Bonzo thông qua Discord, tự nhận là một white hat và cho biết mục đích vay tài sản là bảo vệ thanh khoản còn lại của giao thức trước khi những đối tượng khác khai thác lỗ hổng. Ví cũng cam kết hoàn trả số tiền đã vay.
Vì vậy, Bonzo không đưa khoản tiền của ví thứ hai vào con số thiệt hại chính thức 9,05 triệu USD. Nếu tính toàn bộ khoản vay được thực hiện trong thời gian giá bất thường tồn tại, tổng số tiền gốc đã rời khỏi giao thức lên tới khoảng 10,06 triệu USD.
Tuy nhiên, Bonzo lưu ý con số cuối cùng có thể thay đổi sau khi hoàn tất quá trình hoàn trả, đối chiếu giao dịch, chi phí và biến động giá tài sản.
Bonzo chỉ mất vài phút để bị rút hàng triệu USD
Dữ liệu thời gian do Bonzo công bố cho thấy quá trình khai thác diễn ra rất nhanh.
Vào lúc 00:39 UTC ngày 11/7, ví tấn công gửi 250 SAUCE làm tài sản thế chấp. Khoảng 12 phút sau, bản cập nhật giá giả được ghi vào oracle.
Tám giây sau đó, ví vay hơn 6,63 triệu USDC. Chỉ 10 giây tiếp theo, đối tượng tiếp tục vay hơn 34,51 triệu wHBAR.
Oracle hợp lệ đưa giá SAUCE trở lại mức bình thường lúc 01:36 UTC. Bonzo Lend được tạm dừng khoảng năm phút sau đó, tức gần 50 phút kể từ khi giá giả xuất hiện trên chuỗi.
Bonzo cho biết cuộc tấn công không sử dụng flash loan và cũng không thao túng giá SAUCE trên thị trường. Giá giao dịch thực của token không ghi nhận biến động tương ứng trong thời gian xảy ra sự cố.
TVL Bonzo và Hedera giảm mạnh
Sự cố nhanh chóng tác động đến lượng thanh khoản được ghi nhận trên Bonzo và toàn bộ hệ sinh thái Hedera.
Ngay sau vụ khai thác, TVL của Bonzo giảm khoảng 77% trong vòng 24 giờ. TVL DeFi trên Hedera cũng mất gần 40%, xuống khoảng 25,7 triệu USD theo số liệu được ghi nhận sau sự cố.
Đến thời điểm cập nhật ngày 13/7, DefiLlama hiển thị TVL riêng của Bonzo Lend còn khoảng 2,76 triệu USD, trong khi giá trị các khoản vay đang hoạt động vẫn ở mức hơn 13,2 triệu USD. Nền tảng dữ liệu phân loại vụ việc là một cuộc tấn công thao túng price oracle với tổng số tiền liên quan khoảng 10,05 triệu USD.
TVL DeFi của Hedera hiện dao động quanh 24,88 triệu USD. Bonzo Finance, bao gồm các sản phẩm được DefiLlama tổng hợp, đã giảm gần 80% trong bảy ngày, cho thấy sự cố tại một giao thức lớn có thể tạo ảnh hưởng đáng kể đối với một hệ sinh thái có quy mô thanh khoản còn tương đối nhỏ.
Bonzo Lend vẫn đang bị tạm dừng
Bonzo Lend và chương trình Bonzo Points hiện vẫn trong trạng thái tạm dừng. Nhóm phát triển chưa công bố thời điểm mở lại hoạt động vay, cho vay hoặc cho phép các nhà cung cấp thanh khoản rút tài sản.
Các sản phẩm khác gồm Bonzo Vaults, Bonzo Bridge và hoạt động staking BONZO/XBONZO được cho là không bị ảnh hưởng và vẫn hoạt động bình thường. Nhóm phát triển đang phối hợp với Supra, các đơn vị phát hành token và sàn giao dịch để truy vết, đóng băng hoặc thu hồi tài sản khi có thể.
Báo cáo ban đầu của Bonzo cũng chưa đưa ra kế hoạch bồi thường cụ thể dành cho người dùng. Giao thức cho biết phương án khắc phục, hoàn trả và điều kiện mở lại pool lending sẽ được công bố trong các bản cập nhật riêng.
Sự cố cho thấy rủi ro oracle không dừng ở giá thị trường
Các cuộc tấn công oracle thường được hiểu là hành vi thao túng giá trên một pool có thanh khoản thấp, sau đó sử dụng mức giá sai lệch để vay tài sản. Tuy nhiên, vụ Bonzo cho thấy rủi ro còn có thể nằm sâu hơn trong chính cơ chế xác minh dữ liệu.
Trong trường hợp này, kẻ tấn công không cần mua SAUCE để đẩy giá token trên thị trường. Đối tượng chỉ cần khiến hợp đồng oracle chấp nhận một bản cập nhật không hợp lệ.
Dù hợp đồng lending của Bonzo hoạt động đúng theo thiết kế, việc tin tưởng hoàn toàn vào một nguồn giá bên ngoài vẫn khiến toàn bộ thanh khoản của giao thức gặp nguy hiểm. Supra thừa nhận các giao thức lending và phái sinh cần bổ sung giới hạn biến động giá, cơ chế tạm dừng tự động và kiểm tra chéo nhiều nguồn dữ liệu, đặc biệt đối với những tài sản có thanh khoản thấp.
Khả năng vá lỗi oracle mới chỉ giải quyết lỗ hổng kỹ thuật. Thách thức lớn hơn đối với Bonzo và Hedera sẽ là thu hồi tài sản, xử lý nghĩa vụ với người gửi tiền và khôi phục niềm tin của người dùng sau khi phần lớn thanh khoản của giao thức biến mất trong chưa đầy một giờ.
Ai cuối cùng sẽ phải gánh khoản lỗ 9 triệu USD?
Việc xác định lỗ hổng xuất phát từ hợp đồng oracle của Supra chưa đồng nghĩa Supra sẽ tự động hoàn trả toàn bộ thiệt hại. Trong DeFi, trách nhiệm kỹ thuật, trách nhiệm pháp lý và nghĩa vụ tài chính không phải lúc nào cũng thuộc về cùng một bên.
Bonzo có thể cho rằng hợp đồng lending đã vận hành đúng theo dữ liệu giá nhận được, còn nguyên nhân trực tiếp nằm ở lớp xác minh của nhà cung cấp oracle. Tuy nhiên, người dùng gửi tài sản vào Bonzo và chấp nhận rủi ro thông qua giao thức này, chứ không thiết lập quan hệ trực tiếp với Supra. Vì vậy, từ góc nhìn người gửi tiền, Bonzo vẫn là bên phải đưa ra phương án xử lý khoản thiếu hụt.
Kịch bản thuận lợi nhất là Bonzo thu hồi được phần lớn tài sản từ ví tấn công, ví tự nhận là white hat và các địa chỉ liên quan. Phần còn thiếu sau đó có thể được bù từ treasury, quỹ bảo hiểm, đóng góp của Supra hoặc một thỏa thuận chia sẻ trách nhiệm giữa các bên.
Nếu nguồn lực tài chính không đủ, giao thức có thể phải lựa chọn những phương án khó khăn hơn như phát hành token để bồi thường, phân bổ khoản lỗ cho người gửi tiền hoặc duy trì một phần nợ xấu trên bảng cân đối. Những giải pháp này có thể giúp Bonzo tiếp tục hoạt động, nhưng thường làm giảm giá trị tài sản mà người dùng có thể thu hồi ngay lập tức.
Điều thị trường cần theo dõi không chỉ là bên nào thừa nhận lỗi, mà là ba vấn đề cụ thể: bao nhiêu tài sản đã được thu hồi, nguồn tiền nào sẽ được sử dụng để bù phần còn thiếu và người gửi tiền có phải chịu bất kỳ khoản cắt giảm nào hay không.
Cho đến khi Bonzo công bố một kế hoạch bồi thường rõ ràng, con số 9,05 triệu USD vẫn nên được xem là một khoản thâm hụt chưa xác định được người gánh chịu cuối cùng.
Vì sao một vụ hack 9 triệu USD có thể gây chấn động lớn cho Hedera?
Thiệt hại 9 triệu USD có thể không quá lớn nếu đặt cạnh những vụ tấn công trị giá hàng trăm triệu USD từng xảy ra trong ngành crypto. Tuy nhiên, mức độ nghiêm trọng của một vụ hack không chỉ phụ thuộc vào số tiền tuyệt đối, mà còn phụ thuộc vào quy mô của hệ sinh thái nơi sự cố xảy ra.
Sau vụ khai thác, tổng TVL DeFi trên Hedera chỉ còn khoảng 25,7 triệu USD. Điều đó có nghĩa số tiền liên quan đến sự cố tương đương một phần đáng kể tổng thanh khoản đang hoạt động trên toàn mạng.
Ở những hệ sinh thái lớn, thanh khoản thường được phân bổ giữa hàng trăm giao thức lending, DEX, liquid staking và derivatives. Một dự án gặp vấn đề có thể gây thiệt hại nghiêm trọng cho người dùng của dự án đó nhưng chưa chắc làm thay đổi đáng kể bức tranh toàn mạng.
Hedera có cấu trúc khác. Khi quy mô DeFi còn nhỏ và thanh khoản tập trung vào một số ít giao thức, sự cố tại một nền tảng lớn có thể kéo giảm trực tiếp TVL toàn hệ sinh thái. Hiệu ứng còn lan sang tâm lý người dùng, khả năng thu hút thanh khoản mới và mức độ sẵn sàng của các dự án khi lựa chọn triển khai trên mạng.
Vụ việc cũng có thể khiến thị trường đặt câu hỏi rộng hơn về chất lượng hạ tầng DeFi trên Hedera. Dù lỗ hổng nằm trong hợp đồng của một nhà cung cấp oracle bên thứ ba, người dùng thường không tách biệt hoàn toàn rủi ro giữa giao thức, oracle và blockchain. Trong mắt họ, tất cả đều là các thành phần của cùng một hệ sinh thái.
Vì vậy, tác động lớn nhất đối với Hedera có thể không nằm ở số tiền bị lấy đi, mà ở việc một vụ tấn công tương đối nhỏ so với toàn ngành lại đủ sức làm suy giảm mạnh thanh khoản và niềm tin trong toàn bộ hệ DeFi của mạng.
TVL giảm 77% có đồng nghĩa 77% người dùng đã rút tiền?
TVL của Bonzo giảm 77% không có nghĩa 77% người dùng đã rút tài sản khỏi giao thức. TVL đo tổng giá trị tài sản đang được khóa tại một thời điểm, không đo trực tiếp số lượng người dùng hay tỷ lệ tài khoản rời khỏi nền tảng.
Trong trường hợp Bonzo, một phần lớn mức giảm có thể đến ngay từ số tài sản bị vay và chuyển ra ngoài trong vụ khai thác. Khi hàng triệu USD USDC và wrapped HBAR rời khỏi giao thức, TVL có thể giảm mạnh dù phần lớn người dùng chưa kịp thực hiện bất kỳ hành động nào.
Giá trị TVL cũng chịu ảnh hưởng bởi biến động giá của HBAR, SAUCE và các tài sản khác. Nếu giá token giảm sau sự cố, tổng giá trị tính bằng USD sẽ tiếp tục đi xuống ngay cả khi số lượng token còn nằm trong hợp đồng không thay đổi.
Ngoài ra, Bonzo đã tạm dừng giao thức sau vụ việc. Điều này có thể hạn chế khả năng rút tiền của người dùng trong giai đoạn đầu, khiến mức giảm TVL không thể được hiểu đơn giản là một cuộc tháo chạy tự nguyện khỏi nền tảng.
Một yếu tố khác là cách các nền tảng dữ liệu tính TVL. Tùy phương pháp, số liệu có thể thay đổi khi giao thức xuất hiện nợ xấu, tài sản bị vay vượt quá giá trị thế chấp hoặc các pool bị đánh dấu là không còn hoạt động bình thường.
Để đánh giá liệu người dùng có thực sự rút tiền hàng loạt hay không, cần theo dõi thêm số địa chỉ rút tài sản, lượng tiền rút sau khi giao thức mở lại, số người gửi tiền còn hoạt động và dòng tiền ròng trong những ngày tiếp theo.
Do đó, mức giảm 77% phản ánh sự suy giảm nghiêm trọng về tài sản được ghi nhận trong Bonzo, nhưng chưa đủ để kết luận rằng 77% người dùng đã mất niềm tin và rời khỏi giao thức.
