Bonzo Ödünç Verme'yi Bozan Boş İmza: $9M Hedera Saldırısının Sonrası İncelemesi
2026/07/15 11:18:00
Matematik ve bilgisayar bilimlerinde sıfır, boşluğu—değerin mutlak yokluğunu—temsil eder. Ancak Merkeziyetsiz Finans (DeFi) ekosisteminin kırılgan ve aşırı bağlantılı yapısında, denetlenmeyen bir "sıfır" parametresi yakın zamanda dijital bir anahtar haline geldi. Dakikalar içinde, bu tek denetlenmeyen boş değer, önde gelen bir kredi platformundan 9 milyon doların üzerindeki varlıkları açıp boşalttı.
Bu yıkıcı istismarın kurbanı, Hedera ağı üzerinde çalışan en büyük ödünç verme protokolü olan Bonzo Lend idi. 2026 yılının Temmuz ayında, protokol, toplam kilitli değerini (TVL) hızla %77 oranında düşürdü. Hedera topluluğu içinde panik yayılırken, gözlemciler sızıntının kaynağını bulmak için çaba gösterdi.
Önemli olan, bu felaketin Hedera'nın temel ağ konsensüsü başarısızlığından değil, Bonzo Lend'in temel ödünç verme hesaplamalarının yanlışlığından kaynaklanmamasıdır. Felaket, üçüncü taraf fiyat veri sağlayıcısı Supra Oracles'taki kritik bir imza doğrulama açıklığından doğmuştur. Bu, "hiçbir şey" ile ilgili küçük bir mantıksal gözden kaçırmanın bir DeFi devini nasıl devirdiğinin post-mortem analizidir.
Saldırının Zaman Çizelgesi: Saniyeler içinde 5 $'dan 9.000.000 $'a
Bonzo Ödünç Verme istilasının yürütülmesi, minimum başlangıç sermayesi gerektirerek ve sadece birkaç işlem adımı içinde gerçekleşerek mükemmelliyetti.
Hırsızlık işlemi başlatmak için saldırgan, Bonzo Lend'e çok küçük, önemsiz bir teminat miktarı yatırdı—özellikle 250 SAUCE token. Yatırma anında bu teminat sadece birkaç dolar değerindeydi, neredeyse bir fincan kahve almak için yeterli değildi. Normal protokol kuralları altında, bu küçük miktar kullanıcıya sadece değerinin bir kesirini diğer dijital varlıklarda ödünç alma hakkı verecekti.
Daha sonra, saldırgan, fiyat oracle'ının doğrulama kontrollerini atlayarak istismarı başlattı. Oracle'ın doğrulama kontratına sahte bir fiyat güncellemesi işlemi gönderdi. Bu işlem, SAUCE tokeninin fiyatını astronomik bir şekilde 12 basamak kadar yapay olarak yükselterek, protokole tek bir SAUCE tokeninin aniden milyarlarca dolar değerinde olduğunu bildiren son derece zararlı veriler taşıyordu.
Bu sahte fiyatı geçirmek için sistem, yetkili bir oracle node'dan kriptografik imza gerektiriyordu. Saldırgan, karmaşık kriptografiyi kırmaya veya özel anahtarı çalmaya çalışmamış, yerine imza alanını tamamen boş bırakmış ve kriptografik imza yerine sıfırların bir dizisini göndermiştir.
Doğrulama mantığında kritik bir hata nedeniyle, sözleşme boş imzayı geçerli kabul etti. Hemen ardından Bonzo'nun değerleme sistemi, saldırganın 250 SAUCE teminatını devasa bir değere sahip bir varlık olarak kaydetti. Bu ani, yapay zenginliği kullanarak, haker, Bonzo'nun likidite havuzlarından 6,63 milyon USDC ve 34,50 milyon sarılmış HBAR (wHBAR) çekerek, herhangi bir alarm verilmeden protokolü tamamen boşaltmayı başardı.
"Sıfır İmza" Hatasını Anlamak: Kod Nasıl Başarısız Oldu
Bu istismarın nasıl mümkün olduğunu anlamak için dijital imzaların matematiğini açıklamalıyız. Merkeziyetsiz ağlarda, kriptografik imzalar dijital mum mühürler gibi davranır. Bir orak node fiyatı güncellediğinde, veriyi özel anahtarla imzalar. Alıcı taraftaki akıllı sözleşme, imzanın orak node'nin yetkili genel anahtarıyla eşleştiğini doğrulamak için bir doğrulama algoritması kullanır.
Normalde, bir kullanıcı geçersiz bir imza gönderdiğinde, doğrulama kütüphanesi girişi işlemeye çalışır ve başarısız olur. Kriptografik doğrulama kütüphaneleri, bozuk, boş veya tamamen sıfırlanmış girdilerle karşılaştığında her zaman aktif bir hata vermez. Bunun yerine, birçok standart kütüphane, bir imza ayrıştırılamadığında varsayılan bir değer üretmek üzere tasarlanmıştır. akıllı sözleşmelerde bu varsayılan çıktı, neredeyse her zaman sıfırlardan oluşan uzun bir dizeyle temsil edilen bir null adresidir.
Orakülün doğrulama sözleşmesindeki ölümcül zafiyet, bu varsayılan boş adresi nasıl işlediğinde yatıyordu. Sözleşme, geri kazanılan imzalayıcının yetkili bir orakül düğüm adresiyle eşleşip eşleşmediğini kontrol etmek üzere programlanmıştı. Ancak geliştiriciler, imza uzunluğunun sıfır olduğu veya geri kazanılan adresin boş değer döndüğü her girdiyi reddetme temel kuralını eklemeyi unuttular.
Ayrıca, sözleşmedeki yetkili imzalayıcı durumu başlatılmamışsa veya boş kontrolleri izin veren şekilde yapılandırılmışsa, sözleşme, başarısız imza tarafından döndürülen boş adresi dahili parametreleriyle karşılaştırarak bir eşleşme olarak ilan etti. Doğrulama mantığı, "başarısız imza kurtarma" ile "geçerli yetkili imzalayıcı" arasında ayrım yapamadığından, sözleşme boş imzayı mutlak bir yeşil ışık olarak değerlendirdi ve sahte fiyat beslemesini onayladı.
Oracle Dilemması: DeFi Legoları, en zayıf bağlantısı kadar güçlüdür
DeFi, farklı protokollerin, tokenların ve araçların karmaşık finansal uygulamalar oluşturmak için "Para Legoları" gibi birbirine bağlanabilme yeteneği olan "bileşilebilirlik" özelliğiyle sıklıkla takdir edilir. Bileşilebilirlik, hızlı yeniliklere olanak tanırken aynı zamanda sistemik zayıflıklara da yol açar. Temel bir yapı taşındaki tek bir hata, tüm yapısal katmanı devirebilir.
Bonzo Lend sızıntısı bu zafiyeti mükemmel şekilde göstermektedir. Bonzo Lend, güvenlik denetimlerinden geçmiş iyi yapılandırılmış bir kredi protokolü idi. Ancak protokol, doğru fiyatlandırma sağlamak için dış bir oracle bağımlılığına güvenmek zorundaydı. Oracle'ın doğrulama sistemi yanlış fiyatı kabul ettiğinde, Bonzo'nun kredi sözleşmeleri tam olarak yazıldığı gibi çalıştı ve yoğun şekilde desteklenen "zengin" kullanıcıya varlıklar ödünç verilmesine izin verdi.
Aşağıdaki tablo, saldırı sırasında yapısal sorumlulukların dağılımını açıklamaktadır ve savunma çizgisinin nerede çöktüğünü göstermektedir:
| Bileşen | Kastedilen Sistemik Rol | Saldırı Sırasında Performans | Yapısal Ders |
| Hedera Uzlaşım Katmanı | Defter durumunu güvenli tutun, işlemler sıralayın ve ağın aktif kalmasını sağlayın. | Sıfır kesinti ve ağ düzeyindeki istilalarla mükemmel şekilde gerçekleştirildi. | Güvenli bir ağ konsensüs katmanı, uygulama düzeyindeki güvenliği garanti etmez. |
| Supra Oracle | İmzalı, kriptografik olarak doğrulanmış ve doğru varlık fiyat verilerini sağlayın. | Boş bir imza reddedilemedi, bozuk bir fiyat yayınlandı. | Bağımlılıklar, sıfır güvence doğrulama paradigmalarıyla ele alınmalıdır. |
| Bonzo Ödünç Verme | Yatırma varlıklarını yönetin, kredi sağlığı oranlarını izleyin ve ödünç alma işlemlerini gerçekleştirin. | Gelen fiyat verilerini körükçe güvenerek ani fiyat sıçramalarını sınırlamadı. | Akıllı sözleşmeler, bağımlılık hatalarından kurtulmak için savunma mantığı uygulamalıdır. |
Beyaz Şapka Müdahalesi: Bir Hacker'a Karşı 1 Milyon Dolarlık Yarış
Saldırı kamu defterinde ortaya çıktıkça, dramatik bir ikinci olay gerçekleşti. Kamu blok zincirlerinde, işlemler tamamlanmadan önce "mempool" içinde görünürdür. Bu şeffaflık, hem kötü niyetli hem de etik diğer katılımcıların saldırıları gerçek zamanlı olarak analiz etmesini sağlar.
Ana saldırganın protokolü boşaltmaya başlamasının hemen ardından, yaygın olarak "beyaz şapkalı" bir hacker olarak bilinen bağımsız bir güvenlik araştırmacısı, aktif zafiyeti fark etti. Tüm protokolün boşalma noktasında olduğunu fark eden beyaz şapkalı, yaklaşık 1 milyon dolarlık varlıkları çekmek için tam olarak aynı imzasız zafiyeti uyguladı.
Bu taktik, "front-running" olarak bilinir ve Web3 güvenliğinde yaygın bir savunma hareketidir. Beyaz şapkalı, öncelikle fonları alarak kötü niyetli aktörün likidite havuzunun bu kısmını çalmasını engelledi.
Başarılı çekimden sonra, beyaz şapkalı hemen Bonzo Ödünç Verme ekibiyle iletişime geçti. Kimlik ve niyetlerini doğruladıktan sonra, etik hacker, tüm 1 milyon doları protokolün kurtarma adreslerine güvenli bir şekilde iade etti. Ana saldırgan hâlâ fonların büyük bir kısmını kaçırmayı başardı, ancak bu hızlı müdahale, topluluğun varlıklarının kritik bir kısmını korudu ve Web3 güvenliğinin benzersiz, iş birlikçi doğasını gösterdi.
Milyonları Kaçırma: Çalınan Fonların Hedera Ekosisteminden Nasıl Ayrıldığı
Hacker, sahte teminatlarına karşı milyonlarca dolarlık USDC ve wHBAR kiraladıktan sonra, protokolün sözleşmelerini durdurmadan önce Hedera ekosisteminden kaçmak için öncelikli hedefini değiştirdi.
Saldırgan, çalınan varlıkları orijinal biçiminde tutmadı. Hedera üzerinde popüler olan decentralized bir borsa olan SaucerSwap’i kullanarak, haker, kiralanan tokenleri merkeziyetçi dondurma mekanizmalarından kaçınmak için yüksek likiditeye sahip stablecoinlere ve yerel varlıklara değiştirdi.
Tokenları takas ettikten hemen sonra, saldırgan çapraz zincir köprülerini, özellikle LayerZero üzerinden kullanarak fonları yönlendirdi. Varlıkları köprüleyerek, haker, daha fazla 5 milyon dolarlık çalınan fonu doğrudan Ethereum ana ağına taşıdı.
Varlıklar, Ethereum gibi yüksek likiditeye ve büyük bir ağa geçtiğinde, takip edilmesi ve geri kazanılması katlanarak daha zor hale gelir. Fonlar yüzlerce yeni adrese bölünebilir, merkeziyetsiz gizlilik karıştırıcılara yatırılabilir veya kendi kendine yönetilen gizlilik kripto paralarıyla değiştirilebilir. Bu hızlı, otomatik kaçış yolu, gerçek zamanlı izleme ve hemen acil durum durdurma işlemlerinin modern çapraz zincir istismarlarına karşı tek geçerli savunma yöntemleri olduğunu göstermektedir.
Sert Dersler: DeFi Protokollerinin Oracle Felaketlerinden Nasıl Korunabilecekleri
9 milyon dolarlık kayıp son derece pahalı bir ders, ancak gelecekteki entegrasyon hatalarına karşı uygulamalarını güvence altına almak isteyen akıllı sözleşme geliştiricilerine değerli görünümler sunar.
Sıfır imza açıklarını önlemek için geliştiriciler, katı ve savunmacı kodlama uygulamalarını benimsemelidir. Ana yapısal iyileştirmeler şunlardır:
-
Açık Sıfır Adres Doğrulaması: Bir imza doğrulama işlevinin başarıyla tamamlandığını varsaymayın. Her kriptografik doğrulama rutini, imzanın uzunluğunun sıfırdan büyük olduğunu açıkça kontrol etmeli ve çıktı adresinin null değerine (
0x00...00) çözülmediğini doğrulamalıdır. Eğer null değer dönerse, işlem hemen geri alınmalıdır. -
Yanlış Oracle Mimarileri: Tek bir oracle sağlayıcısına güvenmek, tek bir hata noktası oluşturur. Güçlü DeFi protokolleri, varlık fiyatlarını aynı anda Chainlink, Pyth ve Supra gibi birden fazla bağımsız oracle ağından almalıdır. Bir veri kaynağı diğerlerinin medyanından önemli ölçüde saparsa, protokol bu sapmayı işaretlemeli ve işlemleri otomatik olarak durdurmalıdır.
-
Zincir Üstü Fiyat Kesme Sistemleri: Kredi protokolleri, oran sınırlama ve fiyat sapma sınırları uygulamalıdır. Bir orak, bir blok içinde bir token değerinin trilyon kat arttığını iddia etse bile, akıllı sözleşmenin dahili kesme sistemi bu güncellemeyi anormallik olarak reddetmeli ve manuel yönetim onayı alınana kadar herhangi bir kredi alma veya likidasyon eylemini durdurmalıdır.
Akıllı Sözleşmelerin Denetiminin Geleceği: Sınırları Test Etmemiz Gerekir
Bonzo Lend sızıntısı, mevcut Web3 denetim uygulamalarında kritik bir sınırlığı ortaya koyuyor. Birçok güvenlik denetimi, bir sözleşmenin iş mantığının beklenen koşullar altında çalıştığını doğrulamaya odaklanıyor—genellikle "mutlu yol" testi olarak adlandırılan.
Ancak gerçek dünyada saldırganlar mutlu senaryoyu takip etmez. Özellikle sınır durumlarını, başlatılmamış durumları ve beklenmedik girdileri ararlar. Güvenlik endüstrisi, kod ana ağda canlı hale gelmeden önce gizli hataları ortaya çıkarmak için agresif kenar durumu testlerine doğru kaymalıdır.
Bunu gerçekleştirmek için protokoller, bulanık testleme ve formel doğrulama gibi ileri düzey test yöntemlerini zorunlu bir standart haline getirmelidir. Bulanık testleme, akıllı sözleşmelere milyonlarca rastgele, bozuk ve boş giriş—boş bayt dizileri ve boş imzalar dahil—sağlamak için otomatik araçlar kullanmayı içerir. Doğrulama sözleşmesi titiz bir bulanık testlemeye tabi tutulsaydı, sıfır imza atlaması anında tespit edilirdi.
Sonuç olarak, üçüncü taraf orak sağlayıcılar da daha yüksek güvenlik standartlarını kabul etmelidir. Çünkü bu veri akışları, destekledikleri katman-bir ağlarla aynı düzeyde inceleme altına alınması gereken, yüz milyonlarca dolarlık ekonomik faaliyetin temelini oluşturur.
Sonuç: Güvenilmeyen bir ekosistemde güvenin yeniden kurulması
Bonzo Ödünç Verme açıklaması, akıllı sözleşmelerin hoşgörüsüz doğasının açık bir hatırı. Web3'te kod yasadır ve EVM niyetlerinizle ilgilenmez. "Hiçbir şey" ile ilgili küçük bir mantık boşluğu, yıllar süren geliştirme ve milyonlarca dolarlık kullanıcı güvenini anında silebilir.
Saldırının ardından Bonzo Lend ve Supra Oracles, güvenlik açıklarını hemen düzeltmek ve kalan altyapıyı güvence altına almak için hızlı harekete geçti. Bu olay acı verici olsa da, öğrenilen dersler, DeFi alanındaki tüm entegrasyon standartlarını daha güvenli hale getirecektir. Geliştiriciler ve yatırımcılar için nihai ders basit: entegrasyon güvenliğini asla öngörülmüş olarak kabul etmeyin, kodunuzun sınırlarını test edin ve sistemlerinize hiçbir şey verdiğinizde ne olduğunu her zaman doğrulayın.
SSS:
S1: "Sıfır İmza" hatası, blok zinciri kriptografisinin kendisinin bozulduğu anlamına mı gelir?
Hayır. Dijital imzalar ve halka anahtar kriptografisinin arkasındaki matematiksel prensipler tamamen güvenli kalır. Saldırı, kriptografik kütüphane çıktısını işleyen akıllı sözleşmede bir mantıksal programlama hatasından kaynaklanmıştır. Kütüphane, boş bir imza verildiğinde doğru bir şekilde null değeri döndürdü, ancak sözleşme bu null değerini başarılı bir doğrulama olarak yanlış yorumladı.
S2: Bonzo Ödünç Verme, SAUCE için neden bu kadar abartılı bir fiyatla otomatik olarak güven kazandı?
Ödünç verme protokolleri modüler olacak şekilde tasarlanmıştır, yani varlık fiyatlamasının karmaşık görevini özel orak ağlarına devreder. Bonzo Lend, orakın fiyat verisini bağımsız, yerel akıl sağlığı kontrolleri veya fiyat sapma sınırları olmadan mutlak gerçek olarak kabul edecek şekilde inşa edildiğinden, yapay trilyon katlı fiyat artışını kabul etti ve ödünç alma işleminin ilerlemesine izin verdi.
Q3: Günlük DeFi kullanıcıları, orakla ilgili saldırılar karşısında kendilerini nasıl koruyabilir?
Kullanıcılar bir protokolün kodunu kontrol edemez, ancak kendi risklerini yönetebilir. Sermayenizi korumak için varlıklarınızı birden fazla bağımsız platforma dağıtır, tek bir orak veri kaynağına dayalı olan niche varlıklar için protokolleri kaçınır ve açıkça çok kaynaklı orak sistemleri entegre eden ve güçlü, zincir üstü acil devre kesicilere sahip platformları tercih edersiniz.
Sorumluluk Reddi: Bu içerik yalnızca bilgilendirme amaçlıdır ve yatırım tavsiyesi oluşturmaz. Kripto para yatırımları risk taşır. Lütfen kendi araştırmanızı yapın (DYOR).
Sorumluluk Reddi: Bu sayfa, kolaylığınız için AI teknolojisi kullanılarak çevrilmiştir. En doğru bilgi için orijinal İngilizce versiyona bakınız.