Laut einem Bericht von Tokenpost mit Verweis auf Protos wurde das Kreditprotokoll Bonzo Lend im Hedera(HBAR)-Netzwerk am Wochenende angegriffen, mit einem Schaden von rund 9 Millionen US-Dollar. Dem Bericht zufolge nutzten die Angreifer einen Fehler in der Orakel-Preisfindung aus, um Sicherheiten künstlich überzubewerten und dadurch weit mehr Kapital zu leihen, als tatsächlich hinterlegt war. Der Bericht weist zudem darauf hin, dass die Ursache in der Orakel-Infrastruktur des Anbieters Supra Network liegen soll – Supra habe kürzlich Orakel auf mehreren Chains gepatcht, der Vertrag auf Hedera sei dabei jedoch angeblich übersehen worden und wurde letztlich zum Angriffsziel.
Zur Einordnung: Sowohl die genannte Schadenssumme als auch der Kausalzusammenhang “Patch auf mehreren Chains, Hedera übersehen” stammen bislang ausschließlich aus Medienberichten aus zweiter Hand. Uns liegt weder von Bonzo Lend noch von Supra eine offizielle Stellungnahme oder ein Audit-Bericht zu diesem Vorfall vor. Leser sollten konkrete Zahlen entsprechend mit “laut Medienberichten” relativieren.
Redaktionelle Einordnung: Diese News betrifft eure U-Karte kaum, ist aber trotzdem relevant
Vorab die Kernaussage, damit hier nichts falsch verstanden wird: Angegriffen wurde ein On-Chain-Kreditprotokoll – kein Kartenherausgeber und auch nicht der Stablecoin selbst. Wenn euer USDT auf einer Börse oder in einem verwahrten U-Karten-Konto liegt, etwa bei Bybit Card, MPCard oder OKX Card, hat dieser Vorfall keine direkte Auswirkung auf euer Guthaben – euer Kapital lag nicht in Bonzo Lend und ist auch nicht über das betroffene Orakel auf Hedera gelaufen.
Wirklich neu bewerten sollten diejenigen ihre Situation, die ihr für die Kartenaufladung vorgesehenes Kapital vorübergehend in DeFi-Kreditprotokollen zwischenparken, um Zinsen zu verdienen, und es bei Bedarf wieder abheben. Dieses Vorgehen ist in Bullenmärkten verbreitet – USDT wird in ein Protokoll eingezahlt, das 5 bis 10 Prozent Jahreszins verspricht, und vor dem Aufladen der Karte wieder abgezogen. Genau dieser Vorfall macht das versteckte Risiko in dieser Kette sichtbar: Man glaubt, Zinsen zu verdienen, trägt in Wirklichkeit aber das Smart-Contract-Risiko und das Orakel-Risiko des Protokolls – und wenn eines dieser Risiken eintritt, geht der Verlust meist an die Substanz des Kapitals, weit über die zuvor verdienten Zinsen hinaus.
- Innerhalb von 7 Tagen: Wenn ihr Kapital, das für die Kartenaufladung vorgesehen ist, aktuell in kleinen oder neu gestarteten Kreditprotokollen liegen habt, solltet ihr prüfen, welches Orakel das Protokoll nutzt und ob ein Audit vorliegt – im Zweifel vorher abziehen.
- Innerhalb von 30 Tagen: Beobachten, ob Supra Network eine offizielle Stellungnahme oder einen Entschädigungsplan zu diesem Vorfall veröffentlicht. Auf der Supra-Website findet sich derzeit nur die Produktvorstellung, keine Mitteilung zu diesem konkreten Vorfall.
- Innerhalb von 90 Tagen: Solche Vorfälle führen üblicherweise dazu, dass Orakel-Anbieter eine vollständige Überprüfung ihrer gesamten Infrastruktur vornehmen. Kurzfristig könnte die DeFi-Aktivität im Hedera-Ökosystem darunter leiden, auf zentralisierte Kartenanbieter überträgt sich das jedoch nicht.
Historischer Vergleich: Orakel-Manipulation ist kein neues Drehbuch
Manipulierte Orakel, die Kreditprotokolle zu überhöhten Ausleihungen verleiten, sind ein in DeFi wiederkehrendes Angriffsmuster – dieser Vorfall ist keineswegs der erste seiner Art.
Der bekannteste öffentliche Fall ist der Mango-Markets-Vorfall vom Oktober 2022: Angreifer manipulierten den Orakel-Preis des MNGO-Tokens, um den Wert ihrer Sicherheiten künstlich zu erhöhen, und liehen anschließend den Treasury-Bestand des Protokolls leer. Der Schaden wird in der öffentlichen Berichterstattung breit mit rund 100 Millionen US-Dollar beziffert (die genauen Zahlen variieren je nach Quelle; hier wird die öffentlich berichtete Größenordnung wiedergegeben, keine eigene Berechnung dieser Seite).
- Gemeinsamkeit: Die grundlegende Angriffslogik ist identisch – Sicherheiten werden künstlich überbewertet, Angreifer leihen weit mehr, als der tatsächliche Wert hergibt.
- Unterschied: Beim Mango-Vorfall wurde der Spotpreis eines Tokens mit geringer Liquidität manipuliert; im aktuellen Fall soll es sich laut Berichten um eine Schwachstelle auf Vertragsebene beim Orakel-Anbieter handeln (ein Patch für eine Chain wurde übersehen) – das ist eher ein Infrastrukturmangel als Marktmanipulation.
Für U-Karten-Nutzer vermitteln beide Vorfälle dieselbe Botschaft: Die Kapitalsicherheit ertragsorientierter DeFi-Protokolle und das verwahrte Konto, das ihr für die tägliche Kartenaufladung nutzt, folgen zwei völlig unterschiedlichen Vertrauensmodellen. Nur weil überall “USDT” draufsteht, sollte man die Risiken auf beiden Seiten nicht in einen Topf werfen.
Regulatorische Einordnung: Kein Problem des Stablecoins oder des Kartenherausgebers
Ein verbreitetes Missverständnis muss hier ausgeräumt werden: Eine Orakel-Schwachstelle ist ein technischer Mangel auf Smart-Contract-Ebene und hat nichts mit der regulatorischen Konformität von USDT selbst oder dem Lizenzstatus von Kartenherausgebern zu tun. Dieser Vorfall wird keine aufsichtsrechtlichen Maßnahmen gegen Stablecoin-Karten auslösen.
Leser, die sich für das regulatorische Umfeld im asiatisch-pazifischen Raum interessieren, können unsere Compliance-Leitfäden für Hongkong und Singapur heranziehen – beide Standorte verfügen über vergleichsweise klare Lizenzrahmen für Stablecoins und Anbieter virtueller Vermögenswerte. Verwahrte U-Karten operieren innerhalb dieser Rahmen und folgen damit einem völlig anderen aufsichtsrechtlichen Weg als ein anonymes On-Chain-Kreditprotokoll.
Die Abgrenzung stellt sich derzeit grob so dar:
| Szenario | Regulatorischer Status |
|---|---|
| Verwahrte U-Karte eines lizenzierten Instituts | In den meisten APAC-Jurisdiktionen klarer Rahmen vorhanden |
| Karte einer zentralisierten Börse (z. B. Bybit, OKX) | Je nach Jurisdiktion, von Grauzone bis klare Zulassung |
| Ungeprüftes On-Chain-Kreditprotokoll | Kein regulatorisches Auffangnetz, Risiko liegt beim Nutzer |
Woran es sich weiterzuverfolgen lohnt
- Offizielle Stellungnahme von Bonzo Lend / Supra: Wird eine vollständige Post-Mortem-Analyse samt technischen Details zur Schwachstelle veröffentlicht? Bis Redaktionsschluss nicht erfolgt.
- Entschädigung oder Wiederauffüllung der Treasury: Ob DeFi-Protokolle nach einem Diebstahl Nutzer entschädigen, entscheidet häufig über ihr Fortbestehen.
- Ergebnis der Nachprüfung durch Supra auf allen angebundenen Chains: Die im Bericht genannte These, Hedera sei “übersehen” worden, muss Supra offiziell bestätigen – auch ob es sich um einen Einzelfall handelt.
- TVL-Entwicklung im Hedera-Ökosystem: Ein möglicher Indikator dafür, wie stark der Vorfall ausstrahlt.
Redaktionelle Empfehlung
- Nutzer verwahrter U-Karten (Bybit, MPCard, OKX u. a.): Kein Handlungsbedarf. Euer Guthaben steht in keinem Zusammenhang mit diesem Vorfall.
- Nutzer, die Kapital für die Kartenaufladung in DeFi-Protokollen verzinsen lassen: Prüft, welches Orakel das Protokoll nutzt und ob ein Audit vorliegt. Seid vorsichtig bei neu gestarteten Protokollen mit geringem TVL. Kapital, das für die Kartenaufladung bestimmt ist, sollte primär im verwahrten Konto bleiben oder bei Bedarf abgezogen werden – riskiert nicht die Substanz eures Kapitals für wenige Prozentpunkte Zins.
- Nutzer, die U-Karten langfristig im asiatisch-pazifischen Raum einsetzen wollen: Achtet vorrangig auf lizenzierte und verwahrte Wege, etwa in der Bybit-Card-Bewertung und der MPCard-Bewertung. Trennt die Frage “Kann ich damit bezahlen?” von der Frage “Wo ist mein Kapital sicherer aufgehoben?”.
- Was ihr nicht tun solltet: Verkauft wegen dieser News nicht panisch USDT oder HBAR – die Auswirkungen konzentrieren sich auf ein einzelnes Kreditprotokoll und stehen in keinem direkten Zusammenhang mit der Zahlungsfähigkeit des Stablecoins oder mit Kartenanbietern.
(Alle Angaben zu Schadenssummen und Kausalzusammenhängen in diesem Artikel stammen aus Medienberichten aus zweiter Hand. Sobald offizielle Stellungnahmen vorliegen, aktualisieren wir diese Seite.)