Bonzo Lend, Hedera'daki Oracle Saldırısında 9 Milyon Dolar Kaybetti

Hedera ağı üzerindeki en büyük merkeziyetsiz finans (DeFi) borç verme protokolü Bonzo Lend, yakın zamanda üçüncü taraf bir oracle sağlayıcısı olan Supra'nın doğrulayıcısındaki bir güvenlik açığının istismar edilmesi sonucu yaklaşık 9 milyon dolarlık bir kayıp yaşadı. Bu olay, teminat olarak kullanılan SAUCE token'ının fiyatının manipüle edilmesiyle gerçekleşti ve saldırganın gerçek değerinin çok üzerinde varlıkları ödünç almasına imkan tanıdı.

Bonzo Finance tarafından yayımlanan ön rapora göre, saldırı 11 Temmuz 2026 tarihinde UTC ile yaklaşık 00:51'de başladı. Saldırgan, az miktarda SAUCE token'ı (250 adet) teminat olarak yatırdı. Ardından, Supra'nın isteğe bağlı oracle sözleşmesine SAUCE token'ının fiyatını yaklaşık 12 kat büyüklüğünde şişiren bir fiyat güncellemesi gönderdi. Oracle'ın zincir üstü doğrulayıcısı, sıfırlanmış bir imzaya sahip bu manipüle edilmiş fiyatı kabul etti. Bu sahte fiyatlandırma sayesinde saldırgan, Bonzo Lend'in likidite havuzundan yaklaşık 6.63 milyon USDC ve 34.5 milyon Wrapped HBAR (wHBAR) ödünç alabildi.

Bonzo Finance, bu olayın kendi akıllı sözleşmelerinde veya Hedera'nın temel ağında bir güvenlik açığından kaynaklanmadığını özellikle belirtti. Protokolün, oracle'dan aldığı manipüle edilmiş fiyat verilerine dayanarak tasarıma uygun şekilde çalıştığı vurgulandı. Supra ise sorunu kabul ettiğini ve Hedera ana ağındaki etkilenen doğrulayıcı sözleşmesine bir düzeltme uyguladığını bildirdi. Saldırının hemen ardından, çalınan varlıkların 5.25 milyon doların üzerindeki kısmı LayerZero köprüsü kullanılarak Hedera'dan Ethereum ağına aktarıldı ve burada ETH ile Wrapped Bitcoin'e (WBTC) dönüştürüldü.

Bu olay, merkeziyetsiz finans (DeFi) sektöründe oracle güvenliğinin kritik önemini bir kez daha gözler önüne serdi. 2026 yılında DeFi protokollerini hedef alan siber saldırılar artış gösterirken, bu tür manipülasyonlar sektördeki toplam kilitli değerin (TVL) düşüşüne ve yatırımcı güveninin sarsılmasına neden oluyor. Benzer bir teminat fiyatlandırma saldırısı daha önce Stellar ağındaki bir borç verme havuzunu da etkilemişti.

Piyasa tepkilerine bakıldığında, Hedera'nın yerel token'ı HBAR, saldırı haberlerinin ardından yaklaşık %3 ila %5 arasında değer kaybetti. Analistler, bu tür oracle tabanlı saldırıların, DeFi projelerinin üçüncü taraf hizmet sağlayıcılarına olan bağımlılığını ve bu hizmetlerin sağlamlığının ne kadar hayati olduğunu gösterdiğini belirtiyor. Gelecekte, protokollerin daha sağlam oracle çözümleri ve yedeklilik mekanizmaları benimsemesi, benzer riskleri azaltma konusunda önemli bir adım olabilir. Ayrıca, beyaz şapkalı bir araştırmacının aynı dönemde yaklaşık 1 milyon dolar ödünç alıp iade etme niyetini bildirmesi, toplam kaybın daha da büyümesini engelledi.