#Bonzo Finance oracle exploit *#BonzoFinance Oracle Exploit*

*Ce qui s'est passé, comment cela fonctionne et ce que cela signifie pour la sécurité DeFi en 2026*

DeFi est construit sur la confiance dans le code. Lorsque ce code est manipulé, la confiance s'effondre rapidement.

Cette semaine, *Bonzo Finance a signalé une exploitation de l'oracle* qui a entraîné des liquidations anormales et environ 18 M$ de pertes pour les utilisateurs. Le protocole a mis en pause tous les marchés, lancé une enquête et travaille désormais avec des entreprises de sécurité et les autorités judiciaires pour retracer les fonds.

Ce n'est pas la première exploitation d'oracle. Ce ne sera pas la dernière. Mais les détails comptent, car ils montrent où DeFi est encore fragile et où il devient plus solide.

Voici une analyse professionnelle.

### *1. Qu'est-ce que Bonzo Finance ?*

Bonzo Finance est un protocole de prêt et d'emprunt sur une chaîne EVM majeure. Les utilisateurs déposent des actifs comme ETH, USDC et BTC en garantie et empruntent d'autres actifs contre ceux-ci.

Comme Aave et Compound, Bonzo repose sur des *oracles de prix* pour déterminer la valeur de la garantie. Si votre garantie tombe en dessous d'un seuil, le protocole la liquide pour protéger les prêteurs.

L'ensemble du système repose sur une seule hypothèse : le prix de l'oracle est exact.

### *2. Ce qui s'est produit lors de l'exploitation*

Selon le post-mortem publié par l'équipe de sécurité de Bonzo :

*Étape 1 : Manipulation des prix*

L'attaquant a ciblé une paire de trading à faible liquidité utilisée par l'oracle comme référence. À l'aide d'un flash loan, ils ont fait chuter le prix de l'actif X de 42 % sur un seul DEX pendant 1 bloc.

*Étape 2 : Verrouillage de l'oracle*

L'oracle de Bonzo a mis à jour son prix à partir de ce DEX. Étant donné que le pool était peu liquide et que l'oracle avait une fenêtre TWAP courte, le prix malveillant a été intégré comme "vrai".

*Étape 3 : Liquidations forcées*

Le protocole a considéré de nombreux comptes comme sous-garantis. Il a déclenché des liquidations au prix manipulé. L'attaquant, ou des bots travaillant avec lui, ont acheté la garantie avec une remise de plus de 40 %.

*Étape 4 : Retour du prix à la normale*

Après le bloc, le prix est revenu à la normale. Mais les liquidations étaient irréversibles. 18 M$ de garanties d'utilisateurs ont été vendues bien en dessous de leur valeur marchande.

Insolvabilité totale du protocole : 0 $. Le fonds de garantie de Bonzo a couvert les déficits des prêteurs. Les pertes des utilisateurs proviennent des liquidations.

### *3. Pourquoi cela a fonctionné*

Il s'agit d'une attaque classique de "manipulation d'oracle". Elle fonctionne lorsque trois conditions sont réunies :

*1. Référence à faible liquidité*

L'oracle utilisait un pool DEX avec moins de 2 M$ de liquidité comme source principale. Cela est facile à déplacer avec 5 M$ à 10 M$.

*2. Fenêtre temporelle courte*

Le TWAP était de 10 minutes. Sur des marchés volatils, cela ne suffit pas à lisser un crash flash.

*3. Absence de disjoncteurs*

Il n'y avait aucune vérification du "décalage de prix > X % par rapport aux autres sources". L'oracle faisait confiance à une seule source.

Ce n'est pas une faille dans le contrat intelligent. Le code fonctionnait comme prévu. Il s'agissait d'une faille de conception économique.

### *4. La réponse : Ce que Bonzo a bien fait*

En moins de 4 heures, Bonzo :

1. *A mis en pause tous les marchés* pour empêcher davantage de dommages

2. *A publié les adresses wallet* liées à l'attaquant

3. *A engagé 3 sociétés d'audit* pour une révision complète

4. *A annoncé un plan de compensation* utilisant le trésor et les frais futurs

5. *A changé les oracles* pour adopter une source multiple, un TWAP d'une heure avec vérifications de décalage

Ils ont également déposé des rapports auprès d'entreprises d'analyse de chaîne pour suivre les fonds volés.

C'est la nouvelle norme en matière de réponse aux incidents : rapide, transparente et avec un plan pour les utilisateurs.

### *5. Ce que cela signifie pour la sécurité DeFi*

Les exploitations d'oracle sont la #2 cause de pertes DeFi après les attaques sur les ponts. Voici ce que chaque protocole doit apprendre :

*Utilisez plusieurs sources*

Aucun oracle ne doit se reposer sur un seul DEX. Utilisez Chainlink, Pyth et 2-3 DEX, puis prenez la médiane.

*TWAP plus longs*

10 minutes est trop court pour les actifs volatils. Une heure ou plus est plus sûr.

*Disjoncteurs*

Si le prix bouge de plus de 15 % en 1 bloc par rapport aux autres sources, mettez en pause et exigez un examen par la gouvernance.

*Exigences de liquidité*

N'utilisez que des pools de référence au-dessus de 50 M$. S'ils ne sont pas disponibles, ne listez pas l'actif.

*Assurance et trésorerie*

Le fonds de garantie de Bonzo a sauvé les prêteurs. Les protocoles sans un tel fonds mourront après une exploitation.

### *6. Impact sur les utilisateurs et le marché*

*Pour les utilisateurs de Bonzo* : Si vous avez été liquidé, vous avez perdu. Le plan de compensation couvrira 60 à 80 % sur 6 mois grâce aux revenus du protocole. Pas idéal, mais mieux que zéro.

*Pour les prêteurs* : Aucune perte. Le fonds de garantie a fonctionné comme prévu.

*Pour le secteur* : Le TVL de Bonzo a chuté de 35 % en 24 heures. Les autres protocoles de prêt ont vu des entrées alors que les utilisateurs se sont tournés vers des marques "plus sûres".

Les marchés ont traité cela comme "contenu". Aucune contagion vers des actifs majeurs. Mais le sentiment a été affecté.

### *7. La vision plus large : En maturité, pas en panne*

Tout système financier connaît des exploitations. Les banques subissent des fraudes. Les marchés boursiers connaissent des crashs flash. DeFi connaît des attaques d'oracle.

La différence réside dans la vitesse. Dans DeFi, une exploitation se produit en 12 secondes et tout le monde la voit sur la chaîne.

La bonne nouvelle : l'industrie répond plus vite aussi. En 2020, cela aurait pris deux semaines pour l'admettre. En 2026, cela a pris 4 heures.

Nous voyons également apparaître de meilleurs outils :

- Surveillance en temps réel des oracles

- Audits de sécurité économique

- Disjoncteurs sur chaîne

- P