Le TVL d'Hedera chute de 40% après l'exploit de Bonzo Lend (9,05 M$), malgré une avancée institutionnelle au Royaume-Uni

Semaine contrastée pour Hedera. D'un côté, une attaque visant l'infrastructure d'oracle utilisée par Bonzo Lend a entraîné une ponction de 9,05 M$ sur le principal protocole de prêt DeFi du réseau, provoquant en une journée une chute proche de 40% de la valeur totale verrouillée (TVL) sur Hedera. De l'autre, Lloyds Banking Group, Aberdeen Investments et Archax ont réalisé la première transaction de change (FX) au Royaume-Uni utilisant des actifs du monde réel tokenisés (RWA) comme collatéral sur Hedera, une étape saluée dans un rapport soutenu par HM Treasury publié la même semaine. Points clés - Bonzo Lend, plus grand protocole de prêt DeFi sur Hedera, a perdu environ 9,05 M$ le 11 juillet, après l'exploitation d'un défaut de vérification d'un oracle tiers (Supra). L'attaquant a manipulé le prix du jeton SAUCE pour emprunter très au-delà de ce que son collatéral permettait. - Le TVL total du réseau Hedera a reculé d'environ 40% dans les 24 heures suivant l'incident. Le TVL de Bonzo a plongé de 77%. Le TVL réseau s'établit désormais autour de 25,7 M$. - HBAR est retombé autour de 0,0670–0,069 $ après l'exploit, en baisse d'environ 71% sur un an et d'environ 88% par rapport à son record historique de 0,5692 $ (septembre 2021). - Quelques jours plus tard, Lloyds Banking Group, Aberdeen Investments et Archax ont bouclé la première opération FX au Royaume-Uni avec collatéral en RWA tokenisés sur Hedera, citée dans un rapport "Wholesale Digital Markets Champion" soutenu par HM Treasury. - Le Hedera Council, organe de gouvernance à vocation entreprise, compterait environ 31–32 membres, dont Google, IBM, Boeing, FedEx, Deutsche Telekom et McLaren Racing. Chaque membre opère un nœud validateur. - L'ETF spot HBAR de Canary Capital (HBR) a enregistré environ 93 M$ d'entrées cumulées depuis son lancement, pour des actifs nets proches de 49 M$, après la classification de HBAR comme "digital commodity" par la SEC et la CFTC le 17 mars 2026. Exploit Bonzo Lend: ce qui s'est passé Selon le rapport d'incident officiel de Bonzo, l'attaque a démarré le 11 juillet 2026 vers 00:51 UTC. L'assaillant a déposé 250 jetons SAUCE (d'une valeur de quelques dollars) puis a soumis une mise à jour de prix falsifiée à un contrat d'oracle "on-demand". Cette mise à jour a gonflé artificiellement la valeur de SAUCE d'environ 12 ordres de grandeur. Point critique: le module de vérification de l'oracle a accepté la mise à jour alors qu'elle comportait une signature à zéro, au lieu d'une signature valide émise par le comité d'oracle autorisé. Huit secondes plus tard, l'attaquant a utilisé ce collatéral gonflé pour emprunter environ 6,6 millions d'USDC et 34,5 millions de Wrapped HBAR (WHBAR), soit une valeur totale proche de 9,05 M$. Un second portefeuille a emprunté environ 1 M$ durant la même fenêtre, avant de se présenter à l'équipe Bonzo comme "whitehat" et d'annoncer son intention de restituer les fonds. L'emprunt anormal total sur l'incident atteint ainsi environ 10,06 M$, mais le chiffre de perte affiché par Bonzo (9,05 M$) exclut les montants que le portefeuille whitehat a dit vouloir rendre. Les chercheurs en sécurité blockchain Specter et PeckShield ont suivi plus de 5,25 M$ de fonds dérobés, transférés de Hedera vers Ethereum via LayerZero, puis échangés de Wrapped Bitcoin en ETH. Bonzo Lend et Bonzo Points restent suspendus pendant l'évaluation des options de récupération. Bonzo Vaults, Bonzo Bridge et le staking "single-sided" n'ont pas été affectés et continuent de fonctionner. Bonzo attribue l'incident à une défaillance de l'infrastructure de vérification d'oracle tierce de Supra, en précisant qu'aucune vulnérabilité n'a été identifiée dans ses propres smart contracts ni dans le réseau Hedera lui-même. Supra a depuis reconnu le problème et déployé un correctif sur le contrat de vérification concerné. Au-delà des montants: le choc de confiance L'impact le plus durable pourrait se situer du côté de la confiance. Dans les 24 heures, le TVL réseau a reculé d'environ 40% sous l'effet des retraits. En Corée du Sud, des plateformes comme Upbit, Bithumb et Coinone ont publié des avis de prudence à destination des investisseurs concernant Hedera. L'épisode s'inscrit aussi dans une séquence de plusieurs attaques DeFi la même semaine: un exploit à 6 M$ sur Summer.fi et une attaque de gouvernance visant BonkDAO à 20 M$, portant le total au-delà de 35 M$ de pertes. Une dynamique qui rejoint le constat du rapport H1 2026 de CertiK, selon lequel l'environnement de sécurité "ne s'est pas amélioré et s'est, à plusieurs égards, dégradé", même si les pertes globales tendent à diminuer. L'autre versant: Lloyds, Aberdeen et Archax sur Hedera Alors que l'exploit dominait l'actualité crypto, Hedera a enregistré une annonce institutionnelle marquante. Lloyds Banking Group, Aberdeen Investments et la plateforme d'actifs numériques Archax ont finalisé la première transaction FX au Royaume-Uni utilisant des RWA tokenisés comme collatéral, exécutée sur le réseau Hedera. L'opération s'appuyait sur des unités tokenisées d'un fonds monétaire d'Aberdeen Investments, combinées à de la dette souveraine britannique tokenisée. L'initiative est mise en avant dans un rapport "Wholesale Digital Markets Champion" soutenu par HM Treasury, comme illustration d'une adoption institutionnelle concrète de la blockchain. Gouvernance: le Hedera Council Hedera se distingue par un modèle de gouvernance orienté entreprises, à rebours des réseaux reposant sur des validateurs anonymes ou une équipe fondatrice. Le réseau est piloté par le Hedera Council (nouvelle dénomination depuis mai 2025, ex "Hedera Governing Council"), un organe tournant pouvant aller jusqu'à 39 organisations mondiales, et qui compte actuellement environ 31–32 membres. Chaque membre dispose d'une voix, indépendamment de sa taille, exerce un mandat de trois ans (maximum deux mandats consécutifs) et doit opérer un nœud de consensus validant les transactions. Le schéma se veut inspiré du cadre de gouvernance mis en place par Visa en 1968, où un réseau de paiements était administré par un conseil de banques membres sans contrôle d'une entité unique. Parmi les membres figurent notamment Google, IBM, Boeing, FedEx, Dell, Deutsche Telekom, LG Electronics, Standard Bank, Chainlink Labs, Nomura Holdings, Ubisoft, McLaren Racing et Accenture (entré en avril 2026 pour développer une infrastructure de gouvernance IA à destination des entreprises sur le réseau), ainsi que des institutions académiques comme la London School of Economics et University College London. Toute modification du plafond de l'offre totale de HBAR, fixé à 50 milliards de jetons, exige l'unanimité des membres du Council, soit le seuil de gouvernance le plus élevé du dispositif. Cadre réglementaire et intérêt institutionnel autour de HBAR HBAR fait partie des 16 jetons inclus par la SEC et la CFTC dans une liste officielle de "digital commodities" publiée le 17 mars 2026, aux côtés de Bitcoin, Ethereum, Solana et XRP. Cette classification a facilité l'accès des investisseurs institutionnels via des produits réglementés, dont l'ETF spot HBAR de Canary Capital (HBR), qui affiche environ 93 M$ d'entrées cumulées depuis son lancement et des actifs nets proches de 49 M$. Un produit indiciel Hashdex apporte également une exposition à HBAR. Au final, l'enchaînement des événements met en lumière la double réalité d'Hedera: une crédibilité institutionnelle en progression, tandis que sa couche DeFi sans permission reste exposée aux risques classiques liés aux smart contracts et, surtout, aux dépendances tierces comme les oracles.