Solido Money přišlo kvůli chybě v cenových datech o 293,7 milionu SUPRA

Bezpečnostní firma PeckShield útok i přibližnou výši ztráty potvrdila . Podle dostupných informací přitom zhruba 90 % zasažených prostředků patřilo samotné Solido Foundation, nikoli běžným uživatelům. Největší část ztráty tak nesli správci projektu, nikoli drobní věřitelé či dlužníci .

Útok proběhl ve dvou vlnách

Útočník stejnou zranitelnost využil ve dvou oddělených vlnách :

• První vlna – 18:21:35 UTC: Jediná transakce spojila několik kroků včetně směny tokenů, vložení zástavy a vytvoření nových tokenů CASH. Výsledkem bylo 266 778 767 SUPRA .
• Druhá vlna: Útočník postup zopakoval a celkový výtěžek zvýšil přibližně na 293,7 milionu SUPRA .

Mechanismus byl jednoduchý v principu: pokud protokol věří nesprávné ceně zástavy, může útočník získat úvěr, který skutečná hodnota jeho vkladu zdaleka nepokrývá.

Kam peníze putovaly

Solido Money zveřejnilo forenzní analýzu pohybu tokenů přímo na blockchainu. Ta ukázala, že přibližně 220 milionů SUPRA, tedy asi 84 % odcizených tokenů, bylo převedeno na adresu pravděpodobně používanou pro vklad na burze Gate.io . Některé zprávy tento podíl zaokrouhlují na „téměř 90 %“ – jde o poměr 220 milionů z celkových 293,7 milionu tokenů .

Z blockchainových stop nelze určit skutečnou totožnost útočníka. Převod na burzovní vkladovou adresu však mohl souviset s přípravou na prodej nebo převod tokenů mezi sítěmi . Solido proto požádalo kryptoměnové burzy o pomoc se zmrazením a případným získáním prostředků .

Bonzo Lend ukázalo podobné riziko o 12 dní dříve

Solido Money není izolovaný případ. Jen o 12 dní dříve, 11. července 2026, utrpěl protokol Bonzo Lend na síti Hedera ztrátu přibližně 9,05 milionu dolarů v důsledku jiného útoku na cenové orákulum .

Útočník tehdy vložil pouze 250 tokenů SAUCE, jejichž běžná hodnota činila několik dolarů. Následně odeslal zfalšovanou aktualizaci ceny SAUCE vůči wHBAR, která hodnotu tokenu nadhodnotila o 12 řádů . Během osmi sekund si pak vypůjčil 6,63 milionu USDC a 34,5 milionu wHBAR .

U Bonzo Lend byla příčinou chyba v kryptografickém ověřování: on-chain ověřovač orákula Supra akceptoval cenový údaj s nulovým podpisem a nulovým veřejným klíčem jako platný .

Oba případy mají společný důležitý prvek: Solido Money i Bonzo Lend využívaly jako poskytovatele cenových dat společnost Supra . Typ selhání se však lišil:

• u Bonzo Lend šlo o selhání kryptografického ověření a obejití kontroly podpisu ;
• u Solido Money šlo o zastaralé nebo chybně přiřazené cenové údaje pro kolaterál SOLID .

Události během dvou týdnů proto zvýšily pozornost vůči ekosystému orákul Supra. Bezpečnostní analytici upozorňují na potřebu přísnější kontroly časových razítek, správné normalizace desetinných míst u feedů, limitů odchylky a kombinování více nezávislých zdrojů .

Co si z případu odnáší DeFi

1. Chybná konfigurace může být stejně nebezpečná jako prolomená kryptografie. Zastaralá cena může útočníkovi otevřít cestu k nadměrně velké půjčce stejně účinně jako vadné ověřování podpisu.
2. Riziko projektu se týká i jeho rezerv. Přibližně 90 % zasažených prostředků podle dostupných zpráv patřilo nadaci, což ukazuje, jak úzce jsou projektové pokladny spojeny s bezpečností protokolu.
3. Závislost na jediném poskytovateli vytváří systémové riziko. Pokud více protokolů používá stejnou infrastrukturu, může jedna chyba zasáhnout několik aplikací napříč ekosystémem.
4. Blockchain usnadňuje dohledání pohybu prostředků. Forenzní analýza Solido Money spojila 84 % odcizených tokenů s konkrétní burzovní infrastrukturou a poskytla vyšetřovatelům jasnou stopu.

Případ Solido Money tak připomíná základní pravidlo decentralizovaných financí: smart kontrakt může fungovat přesně podle naprogramovaných pravidel, ale pokud dostane špatnou cenu, může podle ní stejně přesně rozdělit miliony dolarů. Zastaralá data, chybné přiřazení feedu i zfalšovaný podpis představují různé cesty ke stejnému problému – protokol začne věřit hodnotě, která neodpovídá realitě.