Bonzo Lend en Hedera, ataque por U$S 9 millones mediante oráculo
Dos subnets del ecosistema TAO —ORO (SN15) y ConnitoAI (SN102)— vieron comprometidas las wallets de sus propietarios, con fondos drenados desde las cuentas que controlan cada subnet. Uno de los proyectos afectados salió a hablar a través de su cuenta en X, reconociendo el hecho y comunicando los pasos a seguir a su comunidad. Al cierre de esta nota, el episodio todavía no había sido confirmado por la Opentensor Foundation ni por los grandes medios cripto, por lo que las cifras deben tomarse como preliminares hasta que exista un post-mortem formal.
De ORO —SN15, una subnet real dedicada a la evaluación de agentes de IA, verificable en su propio GitHub— se habrían drenado alrededor de 285.000 dólares. De ConnitoAI —SN102— se habrían llevado más de 2.500 TAO, que a la cotización actual del token rondan el medio millón de dólares. La suma combinada se ubicaría, de forma aproximada, en torno a los 700.000–800.000 dólares, una cifra modesta frente a los grandes golpes de la historia de Bittensor.
El detalle central es que el vector no fue el protocolo, sino las cuentas. En Bittensor, la coldkey es la wallet, la llave que controla, transfiere y custodia el TAO de cada participante, incluidos los dueños de subnets. Cuando una coldkey de propietario se compromete —por filtración, phishing, malware o una dependencia envenenada— el atacante hereda el control de los fondos y de las operaciones de esa subnet, sin necesidad de vulnerar el consenso ni el código base.
| Elemento | Valor estimado / Detalle |
|---|---|
| Subnets afectadas | ORO (SN15) y ConnitoAI (SN102) |
| Vector | Compromiso de las wallets/coldkeys de los propietarios de subnet |
| Pérdida en ORO (SN15) | ~U$S 285.000 |
| Pérdida en ConnitoAI (SN102) | +2.500 TAO (~U$S 500.000 aprox.) |
| ¿Afectó el protocolo base? | No: la blockchain y Subtensor permanecen operativos |
| Estado de la información | Preliminar; sin post-mortem de la Opentensor Foundation al cierre |
| Contexto de precio | TAO ~74% por debajo de su máximo histórico, en zona de U$S 200 |
TAO llega a este episodio golpeado, cotizando cerca de un 74% por debajo de su máximo histórico y en la zona de los 200 dólares, con el mercado en modo risk-off y una comunidad ya tensionada por el debate de gobernanza en torno al «Root Reborn». Un ataque dirigido a la capa de las subnets —el corazón productivo de la narrativa de «IA descentralizada»— añade una preocupación específica sobre la seguridad operativa de los equipos que construyen sobre Bittensor.
La arquitectura del proyecto amplifica esa exposición. Con la llegada de dTAO (Dynamic TAO) en febrero de 2025 y la posterior expansión «Robin τ» que duplicó la capacidad de 128 a 256 subnets, el ecosistema multiplicó la cantidad de equipos independientes que manejan sus propias llaves, con niveles de madurez de seguridad muy dispares. Cada subnet nueva es una oportunidad de innovación, pero también una superficie de ataque adicional que no depende de cuán robusto sea el protocolo base, sino de cuán prolijo sea el operador con su coldkey.
El proyecto afectado que se pronunció en X optó por la transparencia inmediata. Reconoció el compromiso de la wallet, informó a los holders y detalló los pasos de contención. Es el mismo manual que la propia Bittensor consolidó tras sus crisis previas: comunicar rápido, aislar el daño, y dejar claro qué quedó comprometido y qué no. En incidentes de coldkey, la recomendación estándar del ecosistema es migrar los fondos a una wallet nueva, rotar llaves y, para operaciones de alto valor, apoyarse en las herramientas de seguridad que Bittensor fue incorporando: proxies con permisos restringidos (ProxyType de solo-staking o solo-transferencia), delays con anuncio público para acciones de riesgo, el nuevo flujo de coldkey swap de tipo «Announce-and-Execute» con demora obligatoria, y hardware wallets tipo Ledger.
Historial de Bittensor
Este episodio no aparece en el vacío. Es el último capítulo de una serie que dibuja con claridad dónde está el riesgo real en TAO. El precedente más grave fue el ataque de cadena de suministro de julio de 2024, cuando un paquete malicioso subido al gestor PyPI (la versión 6.12.2 de la librería de Bittensor), que se hacía pasar por el paquete legítimo y contenía código para robar las coldkeys sin cifrar de quien lo descargara entre el 22 y el 29 de mayo. Cuando el atacante usó esas credenciales, drenó cerca de 32.000 TAO —unos 8 millones de dólares— de varias cuentas grandes. La Opentensor Foundation detectó una anomalía en el volumen de transferencias, puso la cadena en «safe mode» tras un firewall, y fue enfática en un punto que resuena con el caso actual: «el protocolo subyacente permanece intacto y seguro». El ataque no tocó la blockchain, tocó las llaves. Semanas antes, en junio de 2024, ya se había robado un lote de 11.2 millones de dólares en TAO a un gran holder.
En el terreno específico de las subnets, enero de 2026 dejó su propia cicatriz. El colapso de la Subnet 67, bajo la marca Tenexium, con pérdidas estimadas en 2.8 millones de dólares. Allí no hubo un hackeo del núcleo, sino un fallo de diseño a nivel subnet: lo que se presentaba como un pool de liquidez con «multisig» resultó ser, según las investigaciones, una wallet custodial clásica a merced de una sola llave privada. La lección fue idéntica: el riesgo vivía en la capa de aplicación, no en el consenso.
El ecosistema también arrastra vulnerabilidades más sutiles y no relacionadas con robo de llaves. La Subnet 281, la célebre «LOL-subnet», explotó el modelo de dTAO incentivando a los holders a comprar su alpha para inflar el precio y capturar emisiones desproporcionadas de TAO sin aportar trabajo computacional real. Y en enero de 2026, un exploit de MEV bautizado como el «botón de cancelar sin riesgo» permitió a los bots gamear la prioridad de transacciones para abortar sus propias operaciones no rentables a costo cero, extrayendo más de 200 TAO; el fundador de Bittensor, Const, lo confirmó como una manipulación de la prioridad de transacciones on-chain.
Dos subnets de Bittensor, ORO y ConnitoAI, fueron comprometidas
subnets-bittensor-oro-connitoai-comprometidas
——————————–
2026-07-14 15:11:37
El golpe que sufrió Bonzo Lend este 11 de julio nació en el lugar donde nadie suele mirar: el verificador de firmas del oráculo de precios. El atacante depositó 250 tokens SAUCE que valían apenas unos pocos dólares, inyectó un precio inflado en el feed y, ocho segundos después, se llevó cerca de 9 millones de dólares en préstamos contra ese colateral fantasma. Lo hizo sin romper nada, con una «firma» que era un puñado de ceros y que el verificador, contra toda lógica criptográfica, dio por válida.
Bonzo Finance Labs publicó el reporte de incidente oficial el mismo sábado, y el diagnóstico fue quirúrgico: la pérdida no se originó en los contratos de Bonzo Lend, sino en el oráculo de terceros que alimenta esos contratos con precios. La distinción es central, y sobre ella gira todo el caso.
Dos transacciones, ocho segundos
Bonzo Lend, el mayor protocolo de préstamos del ecosistema Hedera, lee los precios de sus activos desde oráculos configurados —principalmente Supra, que opera bajo un modelo «push»: un comité de oráculos publica actualizaciones de precio firmadas en el almacenamiento on-chain, y protocolos como Bonzo simplemente leen el último valor registrado. Bonzo no envía nada al feed; solo lee.
Toda actualización escrita en ese feed debe estar autenticada. Antes de aceptar un nuevo precio, el contrato del oráculo verifica que la actualización lleve una firma BLS válida del comité de Supra. Esa verificación es la única barrera que separa un precio legítimo de uno inventado. Y en este incidente, esa barrera no sostuvo.
Según el reporte, a las 00:51 UTC del 11 de julio una cuenta —la «Wallet A»— envió al contrato «pull» del oráculo una actualización con un precio manipulado de SAUCE. SAUCE cotizaba alrededor de 0.2 HBAR; el valor que cargó el atacante fue el número 1 seguido de treinta ceros, un precio inflado en unos doce órdenes de magnitud sobre el real. La actualización fue aceptada y escrita on-chain por los propios contratos del oráculo.
El detalle técnico es lo que convierte este caso en un manual de escuela. La actualización que envió Wallet A contenía una referencia al comité ID 2, un hash del mensaje, y —en el campo que debía llevar la firma BLS del comité— el valor [0,0]: una firma en cero. Ningún esquema de firma legítimo produce una firma nula, y un verificador funcionando correctamente la habría rechazado de plano. En cambio, el verificador construyó una comprobación de emparejamiento (pairing) BLS con esa entrada y la pasó al precompilado de emparejamiento de Hedera (el system contract 0.0.8). Como tanto el punto de la firma como la clave pública del comité referenciado resolvieron a cero —el llamado «punto en el infinito»—, la ecuación se satisfizo trivialmente y el precompilado devolvió «verdadero».
Dicho de forma simple: el oráculo preguntó «¿es esta una firma válida?», y la primitiva criptográfica respondió «sí» para una firma que no lo era. Ocho segundos después de que el precio falso quedara escrito, Wallet A usó su ínfimo depósito de SAUCE —percibido por el protocolo como enormemente valioso— para pedir prestado 6.634.528 USDC y 34.518.389 WHBAR.
Bonzo Lend hizo lo que debía
El equipo fue enfático en un punto que suele diluirse en la cobertura: sus contratos funcionaron con precisión. Bonzo Lend leyó el precio de SAUCE desde el oráculo configurado, calculó el valor del colateral y la capacidad de préstamo aplicando los parámetros de loan-to-value tal como su código especifica. Dado el input que recibió, produjo el output correcto. La manipulación ya existía en el almacenamiento del oráculo antes de que Bonzo lo leyera. Un protocolo de préstamos que consume un feed tiene derecho a confiar en que el verificador de ese feed hizo su trabajo.
Este es el patrón de falla clásico de las manipulaciones de oráculo: el protocolo se comporta «según diseño» mientras habilita una extracción catastrófica. No hubo manipulación del mercado real de SAUCE —el volumen on-chain en la ventana fue insignificante, con la mayor operación en el orden de unos pocos miles de dólares— ni flash loan alguno. Solo dos transacciones: escribir un precio falso, y pedir prestado contra él.
De Hedera a Ethereum vía LayerZero
El incidente no lo destapó primero Bonzo, sino los sabuesos on-chain. El investigador Specter (@SpecterAnalyst) fue quien alertó de un hackeo en curso en la red Hedera, con más de 3.7 millones de dólares ya puenteados hacia Ethereum a través de LayerZero, y con los fondos siendo swapeados de Wrapped Bitcoin (WBTC) a ETH. El monto rastreado trepó rápido: de 3.7 a más de 4 millones, y luego superó los 5 millones en pocas horas.
La firma de seguridad PeckShield (@PeckShieldAlert) amplificó el hallazgo poco después, cifrando en unos 5.25 millones de dólares lo bridgeado a Ethereum, con la wallet del atacante conteniendo cerca de 2.360 ETH (~4.25 millones) y 15.58 WBTC (~1 millón). PeckShield añadió un dato revelador: la wallet fue fondeada originalmente con 1 ETH proveniente de Tornado Cash, el mezclador que oscurece el origen de los fondos. La firma inicial y el destino final del dinero apuntan a una operación premeditada, no a un tropiezo oportunista.
Bonzo confirmó luego que la aplicación afectada era Bonzo Lend y que LayerZero fue solo la ruta usada para puentear, no la fuente de la vulnerabilidad. Su propio producto de bridge no fue afectado.
| Elemento | Valor estimado / Detalle |
|---|---|
| Red y protocolo | Hedera mainnet / Bonzo Lend |
| Fecha y hora | 11 de julio de 2026, ~00:51 UTC |
| Vector del ataque | Verificador del oráculo Supra aceptó una firma en cero [0,0] |
| Colateral depositado | 250 SAUCE (unos pocos dólares) |
| Precio manipulado | SAUCE inflado ~12 órdenes de magnitud (real: ~0.2 HBAR) |
| Botín (Wallet A) | 6.63 M USDC + 34.5 M WHBAR (~U$S 9.05 millones) |
| Wallet B (white-hat) | ~U$S 1 millón, con intención de devolución |
| Fondos puenteados a Ethereum | ~U$S 5.25 millones (2.36K ETH + 15.58 WBTC) |
| Impacto en TVL | Bonzo -77%; TVL de Hedera -40% en 24 horas |
El white-hat que llegó en el medio
El caso tiene un giro poco habitual. Una segunda cuenta —la «Wallet B»— entró al pool afectado mientras el precio anómalo seguía activo y tomó prestado alrededor de 1 millón de dólares adicionales. En lugar de desaparecer, contactó al equipo de Bonzo por Discord, se identificó como un respondedor white-hat y declaró su intención de devolver los fondos. Por eso Bonzo decidió, deliberadamente, no consolidar la cifra titular en el total combinado de ~10.06 millones, sino reportar los 9.05 millones de Wallet A como el impacto real, tratando lo de Wallet B como una cuestión de recuperación. Si la devolución no se completa, prometieron actualizar la contabilidad.
Reacción: pausas, cotización y respuesta de Supra
El precio legítimo del oráculo restauró SAUCE a su valor normal (~0.1964 HBAR) a las 01:36 UTC, y Bonzo Lend fue pausado cinco minutos después; Bonzo Points quedó pausado a las 05:50. Los productos Bonzo Vaults, Bonzo Bridge y el staking de BONZO/XBONZO siguieron operando con normalidad.
Supra reconoció el problema y desplegó un fix al contrato verificador afectado en Hedera mainnet —fue precisamente ese arreglo lo que permitió inspeccionar el comportamiento del contrato y describir el mecanismo con tanto detalle. HBAR, el token nativo de la red, cayó cerca de un 3-5% en la jornada, cotizando en torno a los 0.069 dólares, con el TVL de Bonzo desplomándose un 77% y el de Hedera cayendo casi 40% en 24 horas, según DeFiLlama. El timing fue especialmente incómodo: el incidente llegó apenas semanas después de que Hedera celebrara el lanzamiento del primer ETF spot de HBAR en EE.UU.
Precedentes
La manipulación de oráculos es una de las familias de exploits más viejas y persistentes de DeFi, y este caso se inscribe en un linaje reconocible. El propio Hedera ya había sufrido un golpe en marzo de 2023, cuando atacantes explotaron el servicio de contratos inteligentes de la red para drenar tokens de pools de liquidez en exchanges como SaucerSwap, Pangolin y HeliSwap. Aquel ataque se llevó menos de 600.000 dólares, y la red desplegó un fix dentro de las 41 horas del descubrimiento —un tiempo de respuesta contra el que inevitablemente se medirá el episodio actual.
En el terreno específico de los oráculos, el reporte de varios medios señala un antecedente fresco de 2026: un ataque de valuación de colateral muy similar contra un pool de préstamos en Stellar, con la misma mecánica de inflar un precio para desbloquear capacidad de préstamo. Y el arquetipo de todos ellos sigue siendo Mango Markets (2022, ~110 millones de dólares), donde el atacante manipuló el precio del colateral para pedir prestado muy por encima de su valor real, abriendo además el eterno debate jurídico sobre si eso es «robo» o simplemente «explotar reglas defectuosas».
Lo que distingue a Bonzo de Mango es sutil pero importante: en Mango se movió el precio real del mercado mediante operaciones agresivas; acá el mercado de SAUCE nunca se movió. La falla fue puramente de verificación criptográfica —un verificador que aceptó una firma nula—, lo que ubica la responsabilidad de fondo en la infraestructura del oráculo, no en la manipulación de un mercado poco profundo.
Por Sistemas, el 15/07/2026.
Siguiente