Hedera tabanlı bir kredi verme protokolü olan Bonzo Finance, yaklaşık 9,00 milyon ABD Doları kayba neden olan bir oracle saldırısına uğradı. Saldırgan, SAUCE token fiyatının anormal şekilde şişirildiği teminatı kullanarak protokolden gerçek değerlerinden çok daha fazla varlık çekti.

Bonzo’nun ilk olay raporu, saldırganın yalnızca 250 SAUCE token (sadece birkaç dolar değerinde) yatırdığını ve ardından token fiyatını yaklaşık 12 basamak artırarak yapay olarak şişirdiği bir fiyat güncellemesi gönderdiğini belirtiyor. Bunun ardından adres, kredi verme havuzundan 6,63 milyon ABD Doları değerinde USDC ve 34,50 milyon wrapped HBAR (wHBAR) çekti.

Bu olayın, oracle hizmet sağlayıcısı Supra’nın zincir içi oracle doğrulayıcısındaki bir zafiyetten kaynaklandığı anlaşılmaktadır; bu doğrulayıcı, imzası sıfırlanmış SAUCE fiyat verisini yanlışlıkla kabul etmiştir.

[PANews]

12 Temmuz (UTC+8) tarihinde, Hedera tabanlı kredilendirme protokolü Bonzo Finance, bir orakül saldırısıyla yaklaşık 9 milyon ABD Doları kaybetti. Saldırganlar, SAUCE jetonunun fiyatının anormal şekilde yükseltilmesi sonrasında teminat olarak kullanılan varlıkları kullanarak protokolden gerçek değerlerinden çok daha fazla varlık ödünç aldılar.

Bonzo tarafından yayımlanan ön rapora göre, saldırgan yalnızca 250 adet SAUCE jetonu (sadece birkaç dolar değerinde) yatırdı ve ardından bu jetonun fiyatını yaklaşık 12 mertebe yapay olarak artıran tek bir fiyat güncellemesi gönderdi. Ardından bu adres, kredilendirme havuzundan 6,63 milyon ABD Doları USDC ve 34,5 milyon adet sarılı HBAR (wHBAR) ödünç aldı.

Bu olay, orakül sağlayıcısı Supra'nın zincir içi orakül doğrulayıcısındaki bir güvenlik açığından kaynaklandığı belirtildi; doğrulayıcı, imzası sıfırlanmış bir SAUCE fiyat verisini yanlışlıkla kabul etmişti. Supra bu sorunu doğruladı ve düzeltmeyi tamamladı. Bonzo, bu saldırının Bonzo akıllı sözleşmeleri veya Hedera alt yapı ağı üzerindeki bir güvenlik açığından kaynaklanmadığını vurguladı.

Verilere göre, 2026 yılının ikinci çeyreği, kripto sektörünün tarihinde en çok saldırıya uğrayan çeyrek olarak kayda geçti; toplam 83 güvenlik olayı gerçekleşti ve toplam kayıp yaklaşık 755 milyon ABD Doları oldu. Bu kayıpların yaklaşık 351 milyon ABD Doları, çapraz zincir köprüleri (cross-chain bridge) saldırılarından kaynaklandı; yönetici yetkisi sızıntısı ve sahte jeton fiyatı manipülasyonu ise çeyreklik toplam kayıpların %37'sini oluşturdu.

Sürekli güvenlik olaylarının etkisiyle, DeFi sektörünün toplam kilitlemiş değer (TVL) 2024 yılının Ocak ayında yaklaşık 115 milyar ABD Doları iken Haziran ayında 70 milyar ABD Dolarının üzerine çıktı ve toplamda %39'luk bir düşüş yaşadı. CryptoRank verilerine göre, bu yıl şu ana kadar sektörde 121 güvenlik olayı gerçekleşti ve toplam kayıp yaklaşık 942 milyon ABD Doları oldu; devam eden güvenlik sorunları, kullanıcı güvenini daha da zayıflatabilir ve sermaye çıkışını hızlandırabilir.

Dikkat çekici bir diğer örnek olarak, bu yıl Şubat ayında Stellar ekosistemindeki kredilendirme protokolü YieldBlox'ta benzer bir olay yaşanmıştı. Saldırganlar, USTRY teminat jetonunun fiyat yolu manipüle ederek kredilendirme havuzundan yaklaşık 10 milyon ABD Doları değerinde varlık çaldılar. (Kaynak: PANews)

[ME News]

HBAR

SUPRA

USDC

Bonzo, yaklaşık 9 milyon ABD Doları kaybetti; saldırı, SAUCE fiyatını manipüle ederek devasa miktarda varlık çekmeye neden oldu.

Bonzo Lend, Hedera (HBAR) üzerinde çalışan merkeziyetsiz bir kredilendirme protokolüydü; bir saldırgan, üçüncü taraf bir Supra oracle doğrulayıcısındaki bir zafiyeti istismar ederek SAUCE token’ının yapay bir fiyatını gönderdiğinde, Bonzo tarafından yayımlanan ön olay raporuna göre Cuma akşamı geç saatlerde yaklaşık 9,05 milyon ABD Doları değerinde zarar gördü.

Protokol, saldırının hemen ardından Bonzo Lend’i durdurdu. Aynı zamanda puan programı da askıya alındı; ancak Bonzo’nun kasaları, köprüsü ve staking ürünleri etkilenmedi. Hedera, X platformunda yaptığı açıklamada bu olayın yalnızca bir üçüncü taraf oracle doğrulayıcısıyla sınırlı kaldığını ve ağın temel altyapısında bir kusur içermediğini belirtti.

Rapora göre saldırgan, Cuma akşamı saat 20.40 sıralarında birkaç dolarlık değere sahip olan 250 SAUCE token’ını teminat olarak yatırdıktan sonra, Supra’nın talep üzerine çalışan oracle sözleşmesine, token’ın değerini yaklaşık 12 mertebe (10¹² kat) abartan bir fiyat güncellemesi gönderdi. O sırada SAUCE, 0,2 HBAR civarında işlem görüyordu; manipüle edilen güncelleme ise 1’in ardından 30 sıfırın yer aldığı bir rakam içermekteydi.

Sahte fiyatın zincire 20.51’de kaydedilmesinin ardından saniyeler içinde cüzdan, neredeyse değersiz teminata karşılık yaklaşık 6,63 milyon USDC ve 34,5 milyon sarılı (wrapped) HBAR ödünç aldı. Bonzo, çekilen ana paranın değerini, HBAR için referans fiyatı olarak yaklaşık 0,07 ABD Doları kullanarak yaklaşık 9,05 milyon ABD Doları olarak hesapladı.

Sahte fiyat güncellemesi, tamamen sıfırlardan oluşan bir kriptografik imza taşıyordu. Supra’nın doğrulayıcısı bu imzayı derhal reddetmeliydi; ancak sözleşme imzaları kontrol ederken yaşanan bir kusur nedeniyle imzayı geçerli kabul etti.

Bu durum, saldırganın Supra’nın meşru imzalayıcılarından onay almadan bir fiyat güncellemesi gönderebilmesini sağladı. Basitçe ifade etmek gerekirse, saldırgan Supra’nın kriptografisini kırmadı ya da bir imzalama anahtarını çalmadı; bunun yerine doğrulayıcının açıkça geçersiz bir güncellemeyi kabul etmesini sağlayan bir yöntem buldu.

Bonzo, Supra’nın sorunu kabul ettiğini ve etkilenen doğrulayıcı sözleşmesi için Hedera mainnet’inde bir düzeltme yayınladığını açıkladı. “Bu düzeltme sayesinde ve sözleşmenin davranışını inceleyebilme yeteneğimiz kazandıktan sonra, mekanizmayı tanımlayabildik,” diye yazdı Bonzo ekibi.

İkinci bir cüzdan, sahte fiyat aktifken yaklaşık 1 milyon ABD Doları ödünç aldıktan sonra ekip ile iletişime geçerek kendisini “beyaz şapkalı” (white-hat) bir yanıt verici olarak tanımladı ve fonları iade etmeyi amaçladığını duyurdu. Bonzo, başlıkta yer alan toplam tutardan bu miktarı dışlamıştır; aksi takdirde toplam tutar yaklaşık 10,06 milyon ABD Doları olurdu.

Zincirüstü araştırmacı Specter, Bonzo’nun saldırının kaynağını doğrulamasından önce Hedera’dan Ethereum’a şüpheli fon hareketlerini ilk olarak işaret etti. Meşru oracle güncellemesi, Cuma akşamı saat 21.36’da SAUCE’un fiyatını yeniden normal seviyeye getirdi ve Bonzo beş dakika sonra kredilendirme havuzunu durdurdu.

Bu olay, kripto sektöründe gerçekleşen saldırılar açısından ağır geçen bir yılı daha da uzatıyor: Immunefi’ye göre 2026 yılının ilk yarısında toplamda 207 kayıt altına alınmış olayla birlikte projeler yaklaşık 972 milyon ABD Doları kaybetti. Ayrıca bu olay, etkilenen uygulamanın temel sözleşmeleri dışındaki altyapı arızalarına, özel anahtar ele geçirilmelerine ve yetkili erişim zayıflıklarına doğru genel bir yönelimi yansıtır; bu yönelim, Gravity Bridge özel anahtarı ele geçirilmesi ve Kelp DAO’nun köprü doğrulama saldırısı gibi vakalarda da gözlemlenmiştir.

Uyarı: The Block, haber, araştırma ve veri sunan bağımsız bir medya kuruluşudur. Kasım 2023 itibarıyla Foresight Ventures, The Block’un çoğunluk hissedarıdır. Foresight Ventures, kripto alanında faaliyet gösteren diğer şirketlere de yatırım yapmaktadır. Kripto borsası Bitget, Foresight Ventures’un bir ana LP’sidir (anchor limited partner). The Block, kripto sektörü hakkında nesnel, etkili ve zamanında bilgi sağlamaya devam etmektedir. Güncel finansal açıklamalarımızı buradan inceleyebilirsiniz.

© 2026 The Block. Tüm hakları saklıdır. Bu makale yalnızca bilgilendirme amacıyla hazırlanmıştır. Yasal, vergi, yatırım, finans veya diğer danışmanlık amaçlarıyla kullanılmak üzere sunulmamıştır.

Hedera borç verme protokolü Bonzo Lend, Supra doğrulayıcısının manipüle edilmiş fiyat güncellemesini kabul etmesinin ardından 9 milyon dolar zarara uğradı.

Hedera tabanlı borç verme protokolü Bonzo Finance, yaklaşık 9 milyon dolarlık bir kayıpla oracle saldırısına uğradı. Saldırgan, SAUCE token fiyatının anormal şekilde yükseltilmesinin ardından teminatı kullanarak protokolde gerçek değerinin çok üzerinde varlıklar borç aldı.

Bonzo tarafından yayınlanan ilk olay raporuna göre, saldırgan yalnızca 250 SAUCE tokeni (değeri birkaç dolar) yatırdı ve ardından token fiyatını yaklaşık 12 büyüklük mertebesi kadar yapay olarak artıran bir fiyat güncellemesi sundu. Ardından, adres borç verme havuzundan 6.63 milyon USDC ve 34.5 milyon sarılı HBAR (wHBAR) borç aldı.

Bu olayın, oracle hizmet sağlayıcısı Supra'nın zincir üstü oracle doğrulayıcısındaki bir güvenlik açığından kaynaklandığı bildirildi; bu açık, imzası sıfırlanmış bir SAUCE fiyat verisinin yanlışlıkla kabul edilmesine neden oldu.

[PANews]

Bonzo, orak saldırısı sonucu yaklaşık 9 milyon ABD Doları kaybetti; saldırgan, SAUCE fiyatını manipüle ederek devasa miktarda varlık çekti.

Hedera tabanlı borç verme protokolü Bonzo Finance, yaklaşık 900 milyon dolarlık bir kayıpla oracle saldırısına uğradı. Saldırgan, SAUCE token fiyatının anormal şekilde yükseltilmesinin ardından teminatı kullanarak protokolde gerçek değerinden çok daha fazla varlık borç aldı. Bonzo Finance tarafından yayınlanan ön olay raporu, saldırganın yalnızca 250 SAUCE yatırdığını, ardından bir fiyat güncellemesi sunduğunu, token fiyatını yapay olarak yaklaşık 12 büyüklük mertebesi yükselttiğini ve ardından adresin borç verme havuzundan 6,63 milyon USDC ve 34,50 milyon kapsüllenmiş HBAR borç aldığını gösteriyor.

Bu saldırı, Bonzo Finance akıllı sözleşmesinde veya Hedera'nın temel ağında bir güvenlik açığı olmaktan ziyade, oracle hizmet sağlayıcısı Supra'nın zincir üstü oracle doğrulayıcısındaki bir güvenlik açığından kaynaklandı; bu, imzası sıfırlanmış bir SAUCE fiyat verisini yanlışlıkla kabul etti. Supra şu anda sorunu doğruladı ve onarımını tamamladı.

[Odaily Gezegen Günlük]

Yaklaşık 9 milyon ABD doları zarar eden Hedera ekosistemi borç verme protokolü Bonzo Finance, oracle saldırısına uğradı

Bonzo Lend, Hedera ekosistemindeki en büyük kredilendirme protokolü, üçüncü taraf bir fiyat orakülüne yönelik bir zafiyetin istismarı nedeniyle yaklaşık 9,05 milyon ABD Doları kayba uğradığını duyurdu. Saldırı sonrasında Bonzo Lend ve Bonzo Points hizmetleri geçici olarak askıya alındı.

Bonzo Finance Labs tarafından Bonzo Finance Foundation ile koordineli olarak yayımlanan olay raporuna göre, saldırı 2026 yılı Temmuz ayı 11’inde, saat 00:51 UTC’de (03:51 UTC+3) gerçekleşti. Saldırgan, Bonzo Lend’in kullandığı Supra orakül sistemine sahte bir SAUCE fiyatı göndererek düşük miktarda teminatla gerçek değerinden çok daha yüksek miktarda SAUCE ödünç almayı başardı.

Bonzo, güvenlik zafiyetinin kendi akıllı sözleşmelerinden ya da kredilendirme protokolünün tasarımından kaynaklanmadığını savundu. Şirket, sorunun Bonzo Lend’in kullandığı üçüncü taraf zincir içi fiyat orakülü olan Supra’nın imza doğrulama mekanizmasında yattığını belirtti.

Rapora göre, saldırganın ilk hesabı, sahte SAUCE fiyatını HBAR cinsinden Hedera ana ağındaki orakülün talep üzerine fiyat güncellemesi sözleşmesine gönderdi. SAUCE’ün gerçek piyasa fiyatı yaklaşık 0,2 HBAR iken, saldırganın gönderdiği değer gerçek fiyattan yaklaşık 12 ondalık basamak daha yüksek gösterildi.

Sahte fiyat zincir içine kaydedildikten sadece sekiz saniye sonra saldırgan, küçük miktarda SAUCE yatırımını teminat olarak kullandı. Orakül verisi nedeniyle protokol bu teminatın değerini aşırı yüksek hesapladı ve sonuç olarak saldırgan, yatırdığı teminatın gerçek değerinden çok daha fazla varlık ödünç aldı.

Bonzo’nun yaptığı inceleme sonucunda, sahte fiyat güncellemesinin kabul edilmesinin nedeni olarak Supra’nın zincir içi doğrulayıcısının geçerli bir imza olmadan kanıtını onaylaması belirlendi. Takım ayrıca saldırganın geçerli bir orakül imzası sahtelemediğini ve SAUCE’ün gerçek piyasa fiyatında hiçbir değişiklik olmadığını açıkladı.

Protokol, yanlış fiyat bilgisinin Bonzo Lend’e ulaşmadan önce orakülün doğrulama katmanında reddedilmesi gerektiğini ancak doğrulama sisteminin bunu başaramadığını ifade etti.

Ayrıca, anormal fiyat verisi aktifken ikinci bir hesabın da protokolden ek varlık ödünç aldığının ortaya çıktığı bildirildi. Bonzo, bu hesabın daha sonra takımla iletişime geçerek kendisini “beyaz şapkalı” bir güvenlik araştırmacısı olarak tanımladığını ve fonların geri verilmesini amaçladığını açıkladı. Bu işlem, toparlanma sürecinin bir parçası olarak protokol tarafından değerlendiriliyor.

Sadece Bonzo Lend ve Bonzo Points hizmetlerinin saldırının etkilediği bildirildi. Bonzo Vaults, Bonzo Bridge ile BONZO ve XBONZO için tek yönlü staking ve unstaking hizmetleri normal şekilde çalışmaya devam etti. BONZO fiyatındaki düşüşü gösteren bir grafik.

Bonzo Lend’deki kredilendirme havuzu, incelemeler ve toparlanma çabaları devam ettiği sürece askıya alınmış durumda. Bonzo Finance Labs ve Bonzo Finance Foundation, protokolün yeniden açılabilmesi için gerekli koşulları ve likidite sağlayıcılarının varlıklarını çekmeleri için izlenecek süreci değerlendirdiklerini duyurdu. Takım, kullanıcılar için tazminat detayları, fonların geri kazanılması ve protokolün tekrar etkinleştirilmesi konusunda yapılacak açıklamaların ayrı bir duyuruyla ileride paylaşılacağını belirtti.

*Bu yatırım tavsiyesi değildir.

Hackerlar, bir altcoin'in fiyatını manipüle ediyorlar.

Bonzo, bir oracle saldırısı nedeniyle yaklaşık 9,00 milyon ABD doları kaybetti; saldırgan, büyük miktarda varlık ödünç alabilmek için SAUCE fiyatını manipüle etti.

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]

Bonzo遭预言机攻击损失约900万美元，攻击者操纵SAUCE价格借出巨额资产

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]