Bonzo Finance Labs tarafından Bonzo Finance Foundation ile koordineli olarak yayımlanan olay raporuna göre, saldırı 2026 yılı Temmuz ayı 11’inde, saat 00:51 UTC’de (03:51 UTC+3) gerçekleşti. Saldırgan, Bonzo Lend’in kullandığı Supra orakül sistemine sahte bir SAUCE fiyatı göndererek düşük miktarda teminatla gerçek değerinden çok daha yüksek miktarda SAUCE ödünç almayı başardı.

Bonzo, güvenlik zafiyetinin kendi akıllı sözleşmelerinden ya da kredilendirme protokolünün tasarımından kaynaklanmadığını savundu. Şirket, sorunun Bonzo Lend’in kullandığı üçüncü taraf zincir içi fiyat orakülü olan Supra’nın imza doğrulama mekanizmasında yattığını belirtti.

Rapora göre, saldırganın ilk hesabı, sahte SAUCE fiyatını HBAR cinsinden Hedera ana ağındaki orakülün talep üzerine fiyat güncellemesi sözleşmesine gönderdi. SAUCE’ün gerçek piyasa fiyatı yaklaşık 0,2 HBAR iken, saldırganın gönderdiği değer gerçek fiyattan yaklaşık 12 ondalık basamak daha yüksek gösterildi.

Sahte fiyat zincir içine kaydedildikten sadece sekiz saniye sonra saldırgan, küçük miktarda SAUCE yatırımını teminat olarak kullandı. Orakül verisi nedeniyle protokol bu teminatın değerini aşırı yüksek hesapladı ve sonuç olarak saldırgan, yatırdığı teminatın gerçek değerinden çok daha fazla varlık ödünç aldı.

Bonzo’nun yaptığı inceleme sonucunda, sahte fiyat güncellemesinin kabul edilmesinin nedeni olarak Supra’nın zincir içi doğrulayıcısının geçerli bir imza olmadan kanıtını onaylaması belirlendi. Takım ayrıca saldırganın geçerli bir orakül imzası sahtelemediğini ve SAUCE’ün gerçek piyasa fiyatında hiçbir değişiklik olmadığını açıkladı.

Protokol, yanlış fiyat bilgisinin Bonzo Lend’e ulaşmadan önce orakülün doğrulama katmanında reddedilmesi gerektiğini ancak doğrulama sisteminin bunu başaramadığını ifade etti.

Ayrıca, anormal fiyat verisi aktifken ikinci bir hesabın da protokolden ek varlık ödünç aldığının ortaya çıktığı bildirildi. Bonzo, bu hesabın daha sonra takımla iletişime geçerek kendisini “beyaz şapkalı” bir güvenlik araştırmacısı olarak tanımladığını ve fonların geri verilmesini amaçladığını açıkladı. Bu işlem, toparlanma sürecinin bir parçası olarak protokol tarafından değerlendiriliyor.

Sadece Bonzo Lend ve Bonzo Points hizmetlerinin saldırının etkilediği bildirildi. Bonzo Vaults, Bonzo Bridge ile BONZO ve XBONZO için tek yönlü staking ve unstaking hizmetleri normal şekilde çalışmaya devam etti. BONZO fiyatındaki düşüşü gösteren bir grafik.

Bonzo Lend’deki kredilendirme havuzu, incelemeler ve toparlanma çabaları devam ettiği sürece askıya alınmış durumda. Bonzo Finance Labs ve Bonzo Finance Foundation, protokolün yeniden açılabilmesi için gerekli koşulları ve likidite sağlayıcılarının varlıklarını çekmeleri için izlenecek süreci değerlendirdiklerini duyurdu. Takım, kullanıcılar için tazminat detayları, fonların geri kazanılması ve protokolün tekrar etkinleştirilmesi konusunda yapılacak açıklamaların ayrı bir duyuruyla ileride paylaşılacağını belirtti.

*Bu yatırım tavsiyesi değildir.