TVL da Hedera cai 40% após exploit de US$ 9,05 milhões na Bonzo Lend, apesar de avanço institucional

A semana da Hedera foi marcada por dois movimentos em direções opostas. De um lado, um exploit envolvendo oráculo drenou US$ 9,05 milhões do maior protocolo de empréstimos DeFi da rede e provocou uma queda de quase 40% no valor total bloqueado (TVL) do ecossistema em um único dia. Do outro, Lloyds Banking Group, Aberdeen Investments e Archax concluíram a primeira operação de câmbio (FX) do Reino Unido com ativos do mundo real (RWA) tokenizados usados como colateral na Hedera — um marco institucional destacado, na mesma semana, em um relatório apoiado pelo HM Treasury. Principais pontos - A Bonzo Lend, maior protocolo DeFi de crédito da Hedera, perdeu cerca de US$ 9,05 milhões em 11 de julho após um invasor explorar uma falha de verificação em um oráculo de terceiros (Supra), manipulando o preço do token SAUCE para tomar empréstimos muito acima do colateral. - O TVL total da Hedera caiu quase 40% em 24 horas; o TVL da Bonzo recuou 77%. O TVL agregado da rede está agora em torno de US$ 25,7 milhões. - O HBAR recuou para perto de US$ 0,067"0,069 após o episódio, acumulando queda de aproximadamente 71% em 12 meses e de cerca de 88% em relação à máxima histórica de setembro de 2021 (US$ 0,5692). - Dias depois, Lloyds Banking Group, Aberdeen Investments e Archax executaram a primeira transação de FX no Reino Unido usando RWA tokenizados como colateral na Hedera, citada no relatório Wholesale Digital Markets Champion, com apoio do HM Treasury. - O Hedera Council, órgão de governança corporativa da rede, reúne cerca de 31"32 membros, incluindo Google, IBM, Boeing, FedEx, Deutsche Telekom e McLaren Racing; cada integrante opera um nó validador. - O ETF à vista de HBAR da Canary Capital (HBR) soma entradas acumuladas de aproximadamente US$ 93 milhões desde o lançamento e tem cerca de US$ 49 milhões em ativos líquidos, após SEC e CFTC classificarem o HBAR como commodity digital em março de 2026. O que ocorreu no exploit da Bonzo Lend Como o ataque funcionou De acordo com o relatório oficial do incidente, a exploração começou por volta de 00:51 UTC em 11 de julho de 2026. O atacante depositou apenas 250 tokens SAUCE (avaliados em poucos dólares) e enviou uma atualização de preço manipulada a um contrato de oráculo sob demanda. A atualização elevou artificialmente o valor do SAUCE em cerca de 12 ordens de grandeza. O ponto crítico foi a falha de verificação: o verificador do oráculo aceitou a atualização mesmo com assinatura zerada, em vez de uma assinatura válida do comitê autorizado. Oito segundos depois, o invasor usou o colateral inflado para tomar aproximadamente 6,6 milhões de USDC e 34,5 milhões de Wrapped HBAR (WHBAR), totalizando cerca de US$ 9,05 milhões. Uma segunda carteira tomou aproximadamente US$ 1 milhão no mesmo intervalo e, depois, se identificou à equipe da Bonzo como whitehat, prometendo devolver os recursos. Com isso, o volume total de empréstimos anormais durante o incidente chegou a cerca de US$ 10,06 milhões, embora o número de perda destacado pela Bonzo (US$ 9,05 milhões) desconsidere os valores que a carteira whitehat afirmou que retornaria. Pesquisadores de segurança on-chain, como Specter e PeckShield, rastrearam mais de US$ 5,25 milhões dos fundos desviados sendo transferidos da Hedera para o Ethereum via LayerZero e, em seguida, trocados de Wrapped Bitcoin para ETH. Bonzo Lend e Bonzo Points seguem pausados enquanto a equipe avalia alternativas de recuperação. Bonzo Vaults, Bonzo Bridge e o staking de lado único não foram afetados e continuam operando. A Bonzo atribuiu o problema especificamente a uma falha na infraestrutura de verificação do oráculo de terceiros da Supra, afirmando que não houve vulnerabilidade nos smart contracts da própria Bonzo nem no funcionamento da rede Hedera. A distinção é relevante porque coloca o risco no provedor de oráculo escolhido pelo protocolo, e não no mecanismo central de consenso da blockchain. A Supra reconheceu o problema e informou ter implementado uma correção no contrato verificador afetado. Por que o impacto vai além do valor perdido O dano mais sensível pode ser de confiança. Nas 24 horas após o incidente, o TVL da Hedera recuou quase 40% com a saída de usuários. Corretoras sul-coreanas como Upbit, Bithumb e Coinone publicaram alertas de cautela a investidores sobre a Hedera. O episódio também ocorreu em uma semana com três grandes ataques no DeFi: além do caso da Bonzo Lend, um exploit de US$ 6 milhões na Summer.fi e um ataque de governança de US$ 20 milhões na BonkDAO. Somados, superam US$ 35 milhões em perdas e reforçam o cenário descrito no relatório da CertiK do 1º semestre de 2026, segundo o qual o ambiente de segurança "não melhorou e, em vários aspectos, piorou", apesar de o total de perdas em dólares mostrar tendência de queda. O lado institucional: Lloyds, Aberdeen e Archax Enquanto o exploit dominava as manchetes, a Hedera divulgou um avanço institucional relevante. Lloyds Banking Group, Aberdeen Investments e a plataforma de ativos digitais Archax realizaram a primeira transação de câmbio do Reino Unido com RWA tokenizados como colateral, liquidada na rede Hedera. A operação usou unidades tokenizadas de um fundo de mercado monetário da Aberdeen Investments, além de dívida pública britânica tokenizada. O caso foi destacado no relatório Wholesale Digital Markets Champion, apoiado pelo HM Treasury, como exemplo de adoção prática de blockchain por instituições. A combinação — exploit em um protocolo DeFi e piloto de mercado tradicional na mesma semana — sintetiza a posição atual da Hedera: uma rede com credibilidade no meio corporativo, cujo ambiente DeFi sem permissão está sujeito aos mesmos riscos de contratos inteligentes e dependências de terceiros vistos em outras redes. Quem governa a Hedera: o Hedera Council Um modelo corporativo de governança Diferentemente de redes como Bitcoin e Ethereum, a Hedera não é governada por validadores anônimos nem por uma equipe fundadora. O comando é do Hedera Council (renomeado de "Hedera Governing Council" em maio de 2025), um colegiado rotativo de até 39 organizações globais, hoje com cerca de 31"32 membros. Cada integrante tem direito a um voto, independentemente do tamanho da empresa, cumpre mandato de três anos com limite de dois mandatos consecutivos e precisa operar um nó de consenso responsável por validar transações. A estrutura foi inspirada no modelo de governança original da Visa, de 1968, em que bancos-membros administravam em conjunto uma rede de pagamentos sem que uma única instituição a controlasse. Quem compõe o conselho Os membros incluem empresas de tecnologia, finanças, telecom, energia e academia. Entre os nomes citados estão Google, IBM, Boeing, FedEx, Dell, Deutsche Telekom, LG Electronics, Standard Bank, Chainlink Labs, Nomura Holdings, Ubisoft, McLaren Racing e Accenture (que entrou em abril de 2026 para construir infraestrutura de governança de IA corporativa na rede), além de instituições acadêmicas como London School of Economics e University College London. Mudanças na oferta total de HBAR — limitada a 50 bilhões de tokens — exigem unanimidade dos membros do conselho, o nível mais alto de exigência na estrutura de governança. Contexto regulatório e institucional do HBAR Em 17 de março de 2026, SEC e CFTC incluíram o HBAR em uma lista formal de 16 tokens classificados como commodities digitais, ao lado de Bitcoin, Ethereum, Solana e XRP. A inclusão ampliou o acesso institucional regulado ao ativo e ajudou a abrir caminho para produtos como o ETF à vista de HBAR da Canary Capital (HBR), com entradas acumuladas de aproximadamente US$ 93 milhões desde o lançamento e ativos líquidos em torno de US$ 49 milhões, além de um produto de índice da Hashdex que também tem exposição a HBAR.