Оракул Supra подвёл Hedera — из Bonzo Lend вывели $9,05 млн, TVL сети упал на 40%

11 июля 2026 около 00:51 UTC атакующий внёс в Bonzo Lend депозит из 250 токенов SAUCE стоимостью несколько долларов, а затем отправил в контракт стороннего оракула Supra поддельное обновление цены. HBAR-номинал SAUCE вырос примерно на двенадцать порядков, и под этот залог из пулов ушли 6,63 млн USDC и 34,52 млн wHBAR. Итоговая оценка потерь — $9,05 млн: TVL протокола упал на 77%, TVL всей Hedera — почти на 40% за сутки, до $25,7 млн.

Bonzo — крупнейший лендинг Hedera, и в предварительном отчёте команда указала, что уязвимость была не в её контрактах, а в проверке ценового обновления на стороне Supra. Протокол и программу поинтов поставили на паузу. Около $5,25 млн атакующий сразу перевёл мостом с Hedera в Ethereum. Второй адрес, забравший ещё около $1 млн, заявил о white-hat-статусе и намерении вернуть средства — эту сумму из headline-оценки убрали.

Кейс бьёт не столько по Hedera, сколько по общей схеме: лендинг наследует доверие к внешнему прайс-фиду целиком, и аудит собственного кода этого не ловит. Дальше от Supra ждут разбора верификации апдейтов, от Bonzo — плана компенсаций и перезапуска с несколькими независимыми источниками цены. Пока протокол на паузе, ликвидность в экосистеме Hedera восстанавливаться не будет.