#Bonzo Finance oracle exploit *#BonzoFinance Oracle Exploit*

*O Que Aconteceu, Como Funcionou e O Que Isso Significa Para a Segurança DeFi em 2026*

DeFi é construído sobre a confiança no código. Quando esse código é manipulado, a confiança se quebra rapidamente.

Esta semana, *Bonzo Finance relatou uma exploração de oracle* que levou a liquidações anormais e perdas de aproximadamente US$ 18 milhões dos usuários. O protocolo pausou todos os mercados, lançou uma investigação e agora está trabalhando com empresas de segurança e autoridades policiais para rastrear os fundos.

Esta não é a primeira exploração de oracle. Não será a última. Mas os detalhes importam, porque mostram onde o DeFi ainda é frágil e onde está se tornando mais forte.

Aqui está uma análise profissional.

### *1. O Que É Bonzo Finance?*

Bonzo Finance é um protocolo de empréstimo e tomada de empréstimo em uma grande cadeia EVM. Os usuários depositam ativos como ETH, USDC e BTC como garantia e tomam emprestado outros ativos contra eles.

Assim como Aave e Compound, Bonzo depende de *oráculos de preço* para determinar o valor da garantia. Se sua garantia cair abaixo de um limiar, o protocolo liquida-a para proteger os credores.

Todo o sistema depende de uma suposição: o preço do oracle é preciso.

### *2. O Que Aconteceu Na Exploração*

De acordo com o pós-mortem divulgado pela equipe de segurança da Bonzo:

*Passo 1: Manipulação de Preço*

O atacante alvejou um par de negociação de baixa liquidez usado pelo oracle como referência. Usando um empréstimo flash, ele elevou o preço do Ativo X em 42% em um único DEX por 1 bloco.

*Passo 2: Bloqueio do Oracle*

O oracle da Bonzo foi atualizado a partir desse DEX. Como o pool era pouco líquido e o oracle tinha uma janela TWAP curta, o preço ruim foi incorporado como "verdadeiro".

*Passo 3: Liquidações Forçadas*

O protocolo considerou muitas contas como subcolateralizadas. Ele acionou liquidações ao preço manipulado. O atacante, ou bots trabalhando com o atacante, comprou garantias com desconto de mais de 40%.

*Passo 4: Retorno do Preço*

Após o bloco, o preço retornou ao normal. Mas as liquidações foram irreversíveis. US$ 18 milhões em garantias de usuários foram vendidas por muito menos que o valor de mercado.

Insolvência total do protocolo: US$ 0. O fundo de seguro da Bonzo cobriu os déficits dos credores. As perdas dos usuários foram decorrentes das liquidações.

### *3. Por Que Isso Funcionou*

Este é um ataque clássico de "manipulação de oracle". Ele funciona quando existem 3 condições:

*1. Referência de Baixa Liquidez*

O oracle usou um pool DEX com menos de US$ 2 milhões em liquidez como fonte primária. Isso é fácil de mover com US$ 5 milhões a US$ 10 milhões.

*2. Janela Curta*

O TWAP era de 10 minutos. Em mercados voláteis, isso não é suficiente para suavizar uma queda flash.

*3. Sem Dispositivos de Segurança*

Não havia verificação de "desvio de preço > X% em relação a outras fontes". O oracle confiou na única fonte.

Isso não é um bug no contrato inteligente. O código funcionou conforme escrito. Foi uma falha de design econômico.

### *4. A Resposta: O Que Bonzo Fez Corretamente*

Em até 4 horas, Bonzo:

1. *Pausou todos os mercados* para evitar mais danos

2. *Publicou endereços da carteira* vinculados ao atacante

3. *Engajou 3 firmas de auditoria* para uma revisão completa

4. *Anunciou plano de compensação* usando tesouraria e taxas futuras

5. *Trocou oráculos* por um multi-fonte, TWAP de 1 hora com verificações de desvio

Eles também apresentaram relatórios a empresas de análise de cadeia para rastrear os fundos roubados.

Este é o novo padrão para resposta a incidentes: rápido, transparente e com plano para os usuários.

### *5. O Que Isso Significa Para a Segurança DeFi*

Explorações de oracle são a #2 causa de perdas DeFi após ataques a pontes. Aqui está o que todo protocolo deve aprender:

*Use Múltiplas Fontes*

Nenhum oracle deve depender de 1 DEX. Use Chainlink, Pyth e 2-3 DEXs, depois tome a mediana.

*TWAPs Mais Longos*

10 minutos é muito curto para ativos voláteis. 1 hora ou mais é mais seguro.

*Dispositivos de Segurança*

Se o preço se mover >15% em 1 bloco em relação a outras fontes, pause e exija revisão da governança.

*Requisitos de Liquidez*

Use apenas pools de referência acima de US$ 50 milhões. Se não estiver disponível, não liste o ativo.

*Seguro e Tesouraria*

O fundo de seguro da Bonzo salvou os credores. Protocolos sem um não sobreviverão após uma exploração.

### *6. Impacto Nos Usuários e No Mercado*

*Para Usuários da Bonzo*: Se você foi liquidado, perdeu. O plano de compensação cobrirá 60-80% em 6 meses a partir da receita do protocolo. Não é ideal, mas melhor que zero.

*Para Credores*: Sem perdas. O fundo de seguro funcionou conforme projetado.

*Para o Setor*: O TVL da Bonzo caiu 35% em 24 horas. Outros protocolos de empréstimo viram entradas à medida que os usuários migraram para marcas "mais seguras".

Os mercados trataram isso como "contido". Nenhuma contaminação para ativos principais. Mas o sentimento sofreu um golpe.

### *7. A Imagem Maior: Amadurecendo, Não Quebrado*

Todo sistema financeiro tem explorações. Bancos têm fraude. Mercados acionários têm quedas flash. DeFi tem ataques de oracle.

A diferença é a velocidade. No DeFi, uma exploração acontece em 12 segundos e todos a veem na cadeia.

A boa notícia: a indústria responde mais rápido também. Em 2020, isso levaria 2 semanas para ser reconhecido. Em 2026, levou 4 horas.

Também estamos vendo melhores ferramentas:

- Monitoramento em tempo real de oráculos

- Auditorias de segurança econômica

- Dispositivos de segurança na cadeia

- P