Giao thức cho vay Bonzo Lend trên Hedera(HBAR) bị thao túng oracle giá, thiệt hại khoảng 9 triệu USD

Hedera(HBAR) 기반 giao thức cho vay **từ Bonzo Lend** vừa trở thành nạn nhân của một vụ tấn công thao túng giá tài sản thế chấp, gây thiệt hại khoảng 9 triệu USD. Vụ việc cho thấy rủi ro “từ oracle giá” trong DeFi vẫn là mối đe dọa lớn, khi một lỗi nhỏ trong cơ chế định giá có thể biến tài sản gần như vô giá trị thành “tấm vé” rút cạn thanh khoản.

Theo Cointelegraph đưa tin ngày 13 (giờ địa phương), **từ Bonzo Lend** cho biết trong báo cáo sự cố sơ bộ phát hành vào thứ Bảy rằng kẻ tấn công đã gửi 250 token SAUCE làm tài sản thế chấp, sau đó lợi dụng cơ chế cập nhật giá để “thổi phồng” giá trị của số token này lên mức tương đương 12 chữ số. Nhờ mức giá bị thao túng, ví của kẻ tấn công đã vay được khoảng 6,63 triệu USD stablecoin Mỹ (USDC) và 34,5 triệu wrapped Hedera (wrapped HBAR) từ các pool cho vay.

Vụ việc cho thấy trong tài chính phi tập trung (DeFi), chỉ một sai lệch nhỏ trong **từ oracle giá** có thể nhanh chóng leo thang thành tổn thất lớn. Ngay cả khi giao thức và mạng lưới hoạt động bình thường, dữ liệu giá sai lệch vẫn đủ sức biến “tài sản gần như vô giá trị” thành kênh rút thanh khoản với quy mô triệu đô.

Trong báo cáo, **từ Bonzo Lend** chỉ ra nguyên nhân xuất phát từ lỗi trong logic xác thực của oracle on-chain do Supra cung cấp. Cụ thể, dữ liệu giá SAUCE bị thao túng chứa “chữ ký rỗng”, nhưng quá trình kiểm tra lại chấp nhận và đưa giá sai lệch này vào hệ thống. **từ Bonzo Lend** cho biết Supra đã thừa nhận vấn đề và triển khai bản vá. Giao thức cũng nhấn mạnh đây không phải là lỗ hổng trong smart contract của **từ Bonzo Lend** hay trong mạng lưới cốt lõi của Hedera(HBAR), mà là sự cố đến từ tầng **từ oracle giá**.

bình luận: Về mặt kỹ thuật, đây là kiểu tấn công kinh điển vào lớp hạ tầng dữ liệu giá: không cần bẻ khóa hợp đồng thông minh, chỉ cần khiến hệ thống tin vào một mức giá “ảo” và tận dụng nó để vay vượt xa giá trị thực. Những giao thức phụ thuộc quá nhiều vào một nguồn **từ oracle giá** duy nhất hoặc có logic xác thực lỏng lẻo sẽ tiếp tục là mục tiêu ưa thích của hacker.

Bối cảnh rộng hơn cũng không mấy tích cực. Bước sang 2026, **từ DeFi** tiếp tục là “điểm nóng” về bảo mật. Quý 2 năm nay được ghi nhận là quý có số lượng vụ hack nhiều nhất lịch sử DeFi, với 83 vụ tấn công và tổng thiệt hại khoảng 755 triệu USD. Riêng các cuộc tấn công nhắm vào cross-chain bridge chiếm tới 351 triệu USD, trong khi các hình thức chiếm quyền quản trị (admin takeover) và thao túng giá token giả chiếm tới 37% tổng thiệt hại quý.

Trong khi đó, điều kiện thị trường cũng gây áp lực lên hệ sinh thái **từ DeFi**. Tổng giá trị tài sản khóa (TVL) trong DeFi giảm từ khoảng 115 tỷ USD hồi tháng 1 xuống trên 70 tỷ USD vào tháng 6, tương đương mức sụt giảm khoảng 39%. Nền tảng phân tích CryptoRank thống kê trong cùng giai đoạn đã có 121 vụ hack với tổng thiệt hại khoảng 942 triệu USD, và nhận định chuỗi sự cố bảo mật lặp lại nhiều lần có khả năng làm xói mòn niềm tin người dùng, kích hoạt làn sóng rút vốn khỏi các giao thức **từ DeFi**.

Sự cố trên Hedera(HBAR) lần này cũng gợi nhớ tới vụ thao túng giá xảy ra trên một pool cho vay dựa trên Stellar(XLM) vào tháng 2. Khi đó, kẻ tấn công đã can thiệp vào đường dẫn giá dùng để định giá tài sản thế chấp USTRY, qua đó rút khoảng 10 triệu USD. Cả hai vụ việc đều cho thấy rủi ro cốt lõi trong **từ DeFi** không chỉ nằm ở mã nguồn hợp đồng thông minh, mà chủ yếu ở cách các giao thức thu thập, xác thực và sử dụng dữ liệu **từ oracle giá** bên ngoài.

bình luận: Các vụ thao túng giá SAUCE hay USTRY đều có mẫu số chung: token thanh khoản mỏng, đường dẫn giá phức tạp hoặc tập trung, và cơ chế kiểm chứng dữ liệu không đủ chặt chẽ. Khi bị đẩy giá lên bất thường mà vẫn được hệ thống chấp nhận, chúng trở thành “tài sản thế chấp hoàn hảo” cho những khoản vay khổng lồ – cho đến khi giá quay về giá trị thực, còn giao thức thì gánh khoản nợ xấu.

Khi các lỗi trong cơ chế **từ oracle giá** và định giá tài sản thế chấp tiếp tục lặp lại, tâm lý dè chừng với **từ DeFi** khó có thể sớm giảm bớt. Đặc biệt, với những token có thanh khoản mỏng, khả năng bị thao túng giá càng cao, khiến vấn đề bảo mật và khung kiểm chứng dữ liệu trở thành yếu tố then chốt quyết định niềm tin của thị trường đối với các giao thức **từ DeFi** nói chung và những nền tảng cho vay như **từ Bonzo Lend** nói riêng.