Oracles lỗi khiến Bonzo Lend trên Hedera(HBAR) bị hack 9,05 triệu USD, TVL DeFi hệ sụt 40%

**오라클**, **Hedera(HBAR)**, **DeFi**, **Bonzo Lend**, **Supra** là những từ khóa chính xuyên suốt bài viết này. Nội dung tập trung vào vụ tấn công lợi dụng lỗ hổng *oracles* trên giao thức cho vay Bonzo Lend thuộc hệ sinh thái Hedera, gây thiệt hại khoảng 9,05 triệu USD và kéo thanh khoản toàn hệ xuống mạnh.

Theo The Block đưa tin ngày 13 (giờ địa phương), giao thức cho vay phi tập trung Bonzo Lend xây dựng trên mạng Hedera(HBAR) đã bị tấn công thông qua lỗ hổng **oracles**, dẫn tới thiệt hại ước tính khoảng 9,05 triệu USD (khoảng 135 tỷ đồng). Cốt lõi của vụ việc là cơ chế xác thực giá thiếu chặt chẽ, cho phép kẻ tấn công thổi phồng giá trị tài sản thế chấp và vay vượt mức.

Theo báo cáo sơ bộ từ Bonzo, kẻ tấn công đã khai thác “lỗi kiểm chứng” trong hợp đồng **oracles** của Supra – một nhà cung cấp dữ liệu giá bên ngoài. Cụ thể, đối tượng nạp 250 token SAUCE – một loại tài sản gần như không có giá trị thị trường – vào giao thức. Sau đó, hắn thao túng quá trình cập nhật giá, khiến giá trị SAUCE tính theo Hedera(HBAR) bị đẩy lên mức phi thực tế. Nhờ khối tài sản thế chấp “ảo” này, kẻ tấn công đã vay được lượng lớn tài sản từ Bonzo Lend.

Dựa trên giá trị thế chấp đã bị thổi phồng, ví tiền tấn công đầu tiên rút ra khoảng 6,63 triệu token USD Coin(USDC) cùng 34,52 triệu token Hedera(HBAR) dưới dạng tài sản bọc (wrapped). Với mức giá Hedera(HBAR) khoảng 0,06998 USD tại thời điểm báo cáo, tổng giá trị số tài sản bị rút khỏi giao thức ước đạt khoảng 9,05 triệu USD.

Không dừng lại ở đó, trong thời gian mức giá bị thao túng vẫn chưa được điều chỉnh, một ví thứ hai tiếp tục lợi dụng tình trạng này để vay thêm khoảng 1 triệu USD (tương đương gần 14,9 tỷ đồng). Tuy nhiên, ví thứ hai sau đó đã chủ động liên hệ đội ngũ Bonzo thông qua Discord, tự nhận là “người phản ứng mũ trắng” (whitehat) và bày tỏ ý định hoàn trả tài sản đã rút.

Trong thông báo sau đó, Bonzo cho biết họ tính toán mức thiệt hại ròng sau khi loại trừ số tài sản mà ví “mũ trắng” cam kết trả lại. Tại thời điểm xảy ra sự cố, tổng dư nợ cho vay trên giao thức vào khoảng 10,06 triệu USD (tương đương khoảng 150 tỷ đồng), cho thấy quy mô rủi ro mà lỗ hổng **oracles** có thể gây ra cho người dùng.

Hệ quả của vụ tấn công lan rộng ra toàn bộ hệ sinh thái Hedera(HBAR). Dữ liệu từ DeFiLlama ngày 13 (giờ địa phương) cho thấy tổng giá trị tài sản khóa (TVL) của hệ Hedera giảm khoảng 40% trong vòng 24 giờ, xuống còn 25,7 triệu USD. Riêng Bonzo Lend ghi nhận mức sụt giảm TVL lên tới 77% trong cùng khoảng thời gian, phản ánh tâm lý hoảng sợ và rút vốn nhanh khỏi nền tảng sau sự cố.

*bình luận* Vụ việc một lần nữa cho thấy **oracles** là mắt xích tối quan trọng trong kiến trúc DeFi. Chỉ cần một khâu xác thực dữ liệu giá bên ngoài thiếu an toàn, toàn bộ giao thức có thể bị đánh sập thông qua cơ chế thế chấp và cho vay. Trường hợp Bonzo Lend – Supra đặt ra yêu cầu cấp thiết phải rà soát lại thiết kế **oracles**, bao gồm quy trình kiểm chứng dữ liệu, cơ chế dự phòng khi giá bị bất thường và giới hạn mức vay dựa trên các tài sản kém thanh khoản.

Không ít chuyên gia trong ngành nhận định, các giao thức cần giảm phụ thuộc vào dữ liệu từ nguồn đơn lẻ, tăng cường sử dụng nhiều nguồn **oracles** kết hợp, đồng thời áp dụng thêm biện pháp quản trị rủi ro như giới hạn tỷ lệ thế chấp, chặn tạm thời giao dịch khi giá biến động bất thường. Trong bối cảnh DeFi ngày càng phức tạp, thiết kế lại vai trò **oracles** và mức độ phụ thuộc vào dữ liệu bên ngoài đang trở thành ưu tiên hàng đầu nếu các dự án muốn bảo vệ người dùng và duy trì niềm tin thị trường.