​🚨 8초 만에 900만 달러 탈취…본조(Bonzo) 공격의 진짜 원인은 ‘오라클’

이번 Bonzo Lend 공격은 헤데라(Hashgraph) 네트워크가 해킹당한 것이 아니라, Supra 오라클의 검증 실패로 발생한 사건입니다.

📌 왜 오라클가 중요한가?

블록체인 스마트 컨트랙트는 외부의 가격 정보를 직접 확인할 수 없습니다.

대신 오라클이 전달하는 가격 데이터를 100% 신뢰해 대출 한도, 담보 가치, 청산 여부 등을 결정합니다.

즉, 오라클가 잘못된 가격을 전달하면 스마트 컨트랙트는 그것이 사실이라고 믿고 그대로 실행합니다.

⚠️ 공격 과정 (단 8초)

① 공격자는 Tornado Cash에서 받은 1 ETH로 지갑을 준비

② Bonzo Lend에 SAUCE 토큰 250개(약 5달러 수준)를 담보로 예치

③ Supra 온디맨드 오라클에 SAUCE 가격을 조작한 업데이트 제출

• 실제 가격: 약 0.2 HBAR(약 0.014달러)
• 조작된 가격: 1 뒤에 30개의 0이 붙은 숫자
• 약 10¹²배 이상 부풀려진 가격이 전달됨

④ 가장 큰 문제는 검증 과정

공격자는 모든 값이 0으로 채워진 명백히 잘못된 전자서명(signature) 을 제출했습니다.

정상적인 검증 시스템이라면 즉시 거부해야 하지만,

Supra 오라클의 서명 검증 로직에 취약점이 있어 이를 정상 데이터로 받아들였습니다.

즉,

• 개인키가 탈취된 것도 아니고
• 노드가 해킹된 것도 아니며
• 단순히 잘못된 서명을 검증 계약이 통과시킨 것이 핵심 원인이었습니다.

⑤ 8초 뒤

조작된 가격을 기준으로

• 약 663만 USDC
• 약 3,450만 Wrapped HBAR

등 총 약 905만 달러를 대출받았습니다.

⑥ 이후

약 525만 달러를 LayerZero를 통해 이더리움으로 이동시킨 뒤 ETH로 교환했습니다.

📉 피해 규모

• Bonzo Lend 손실: 약 905만 달러
• 이상 대출 규모: 약 1,006만 달러
• 화이트햇이 약 100만 달러를 회수

이후

• Bonzo TVL은 77% 감소
• 헤데라 전체 TVL도 24시간 만에 약 40% 감소
• HBAR 가격 하락
• 업비트, 빗썸, 코인원은 투자 유의 공지를 발표
• Bonzo Lend는 현재 서비스가 일시 중단된 상태입니다.

✅ 핵심 정리

이번 사건은

• ❌ 헤데라 합의(aBFT) 문제도 아니고
• ❌ Bonzo 스마트 컨트랙트가 해킹된 것도 아닙니다.

근본 원인은 Supra 오라클의 서명 검증(Signature Verification) 취약점이었습니다.

오라클가 잘못된 가격을 정상으로 인정하자, Bonzo는 그 가격을 그대로 신뢰해 수백만 달러를 대출해 준 것입니다.

이번 사건은 DeFi에서 오라클 보안이 얼마나 중요한지 보여주는 대표적인 사례로 평가되고 있습니다.