Protokol lending berbasis jaringan Hedera, Bonzo Lend, mengalami serangan eksploitasi oracle yang mengakibatkan kerugian sekitar $9 juta atau setara Rp144 miliar pada Sabtu, 11 Juli 2026.
Dalam laporan insiden awal yang dipublikasikan hari yang sama, tim Bonzo mengungkapkan bahwa peretas menyetor hanya 250 token SAUCE — senilai beberapa dolar saja — sebelum mengirimkan pembaruan harga palsu yang menggelembungkan nilai token tersebut hingga sekitar 12 kali lipat dari nilai sebenarnya.
Kronologi Serangan: Dari 250 SAUCE ke $9 Juta
Dengan jaminan yang telah dimanipulasi, peretas kemudian berhasil meminjam 6,63 juta USDC dan 34,5 juta wrapped HBAR dari kolam pinjaman Bonzo Lend. Total nilai yang berhasil dikuras mencapai sekitar $9 juta. Bonzo menegaskan bahwa insiden ini disebabkan oleh kelemahan pada on-chain oracle verifier milik Supra, yang menerima harga SAUCE yang telah dimanipulasi dengan tanda tangan yang dikosongkan (zeroed signature). Pihak Supra telah mengakui masalah tersebut dan segera menerapkan perbaikan.
Penting dicatat, Bonzo menekankan bahwa serangan ini bukan berasal dari kerentanan pada smart contract Bonzo Lend maupun jaringan inti Hedera. Protokol dan jaringan tetap beroperasi normal. Kasus ini menjadi ilustrasi nyata bagaimana kegagalan oracle dapat mengubah jaminan bernilai rendah menjadi senjata untuk menguras likuiditas dalam jumlah besar dari protokol lending.
DeFi 2026: Tahun Kelam Serangan Beruntun
Insiden Bonzo menambah daftar panjang serangan terhadap protokol DeFi sepanjang tahun 2026. Kuartal kedua tahun ini tercatat sebagai kuartal dengan jumlah peretasan terbanyak sepanjang sejarah, dengan 83 insiden eksploitasi dan total kerugian sekitar $755 juta. Dari jumlah tersebut, eksploitasi jembatan lintas rantai (cross-chain bridge) menyumbang $351 juta, sementara serangan kompromi administrator dan manipulasi harga token palsu mewakili 37 persen dari total kerugian kuartalan.
Total nilai terkunci (TVL) DeFi secara keseluruhan telah anjlok 39 persen menjadi sekitar $70 miliar pada Juni 2026, turun dari $115 miliar pada Januari. Platform analitik CryptoRank mencatat 121 peretasan dengan total kerugian sekitar $942 juta sepanjang semester pertama 2026. Berulangnya insiden keamanan ini diyakini semakin menekan kepercayaan pengguna dan memperkuat arus keluar modal dari sektor DeFi.
Pola Serangan Oracle yang Berulang
Insiden Bonzo juga mengikuti pola serupa yang terjadi di jaringan Stellar pada Februari lalu, ketika peretas menguras sekitar $10 juta dari kolam pinjaman YieldBlox DAO setelah memanipulasi harga token USTRY yang digunakan sebagai jaminan. Kedua insiden ini menyoroti kerentanan fundamental pada infrastruktur oracle yang menjadi tulang punggung protokol DeFi.
Hingga berita ini diturunkan, tim Bonzo Lend belum mengungkapkan rencana kompensasi bagi pengguna yang terdampak. Investigasi lebih lanjut masih berlangsung, dan komunitas Hedera diimbau untuk tetap waspada terhadap potensi serangan lanjutan.
