DeFiレンディング"Bonzo Lend"、ゼロ署名の検証欠陥で905万ドル流出

Hedera上のレンディングプロトコル「Bonzo Lend」で、オラクル検証における「ゼロ署名（ZeroSignature）」の脆弱性を突いた不正借入が発生し、約905万ドル相当が引き出された。プロトコルは出金を停止しており、7月13日時点でBonzo LendとBonzo Pointsは停止状態が続く。公式ステータスページでは、Bonzo Lendおよび影響を受けた資産マーケットがメンテナンス中とされ、Bonzo Finance LabsとBonzo Finance Foundationが復旧手順と再開条件を検討している間、流動性提供者（LP）は引き出しできない。 事案の起点は、Wallet Aが「250 SAUCE」（数ドル相当）を担保に預け入れたことだった。同ウォレットはUTC 0時51分、SAUCE/wHBARの価格更新を提出し、実勢価格が0.2 HBAR近辺で推移していたにもかかわらず、トークン価値を約12桁押し上げる内容となった。改ざん価格がオラクルのオンチェーン保管領域に反映された8秒後、Wallet AはUSDC 663万を借り入れ、その後wrapped HBAR 3,450万を貸し出した。Bonzoの参照価格ベースで、Wallet Aが引き出した元本は合計約905万ドルに達した。 問題の核心は、署名や公開鍵が"ゼロ"の入力が検証を通過した点にある。提出された更新には有効なオラクル署名が含まれておらず、署名フィールドは[0, 0]、参照された委員会公開鍵もゼロだった。暗号学では、これは"無限遠点"（point at infinity）として知られる数学的な恒等要素に該当する。Supraのバリデーターはこれらの入力をHederaのペアリング用プリコンパイルドコントラクトへ渡し、双方が恒等要素であるためペアリング等式は設計上trueを返す。バリデーターは、ゼロ値・恒等要素・サブグループ外入力を事前に拒否しないまま、このtrueを委員会署名の証明として扱った。要するに、ネットワークは与えられた式を正しく解いた一方、検証側がそれを"正当な承認"と誤認した。 Bonzoによれば、レンディング契約はオラクルに保存された価格を前提に、プログラムされたLTV（Loan-to-Value）ルールで執行される。異常価格が有効な間、Wallet Bも約100万ドルを借り入れた。Wallet BはBonzoに連絡し、自身をホワイトハット対応者と名乗ったうえで資金返還の意向を示している。Bonzoは約100万ドルの回収を見込むが、現時点で返還は完了しておらず、最終回収額は未確定という。 Bonzoは、Supraがバリデーターの修正を完了したと説明する一方、レンディングプールは依然として閉鎖されたままだ。今後の論点として、回帰テストで恒等要素入力の拒否が確認できているか、価格乖離チェックの追加や担保パラメータの厳格化を行うか、出金再開時の資産取り扱いをどう設計するかが挙げられている。 7月13日時点で公式ステータスページは本件を未解決と掲載している。最新の公式更新（7月11日投稿）でも停止継続が示され、補償の有無、再開時期、ユーザーの出金条件はまだ発表されていない。流動性提供者は、今後提示される復旧計画に左右される状況が続いている。