#Bonzo Finance oracle exploit *#BonzoFinance Oracle Exploit*

*کیا ہوا، یہ کیسے کام کرتا ہے، اور 2026 میں DeFi سیکیورٹی کے لیے اس کا کیا مطلب ہے*

DeFi کوڈ پر اعتماد پر بنی ہوئی ہے۔ جب وہ کوڈ کھیل دیا جائے، تو اعتماد جلد ٹوٹ جاتا ہے۔

اس ہفتے، *Bonzo Finance نے ایک oracle exploit کی اطلاع دی* جس کی وجہ سے غیر معمولی لیکویڈیشنز اور تقریباً 18 ملین امریکی ڈالر کے صارفین کے نقصانات ہوئے۔ پروٹوکول نے تمام مارکیٹس روک دیں، تحقیقات شروع کر دیں، اور اب وہ سیکورٹی فرموں اور قانون نافذ کرنے والے اداروں کے ساتھ فنڈز کا تعاقب کر رہا ہے۔

یہ پہلا oracle exploit نہیں ہے۔ یہ آخری بھی نہیں ہوگا۔ لیکن تفصیلات اہم ہیں، کیونکہ وہ دکھاتی ہیں کہ DeFi اب بھی کہاں کمزور ہے، اور کہاں مضبوط ہو رہا ہے۔

یہاں ایک پیشہ ورانہ تفصیل ہے۔

### *1. Bonzo Finance کیا ہے؟*

Bonzo Finance ایک بڑے EVM چین پر قرض دینے اور ادھار لینے کا پروٹوکول ہے۔ صارفین ETH، USDC، اور BTC جیسے اثاثوں کو ضمانت کے طور پر ڈپازٹ کرتے ہیں، اور ان کے خلاف دوسرے اثاثے ادھار لیتے ہیں۔

Aave اور Compound کی طرح، Bonzo اثاثوں کی قیمت طے کرنے کے لیے *قیمت oracles* پر انحصار کرتا ہے۔ اگر آپ کی ضمانت ایک حد سے نیچے چلی جائے، تو پروٹوکول اسے لیکویڈ کر دे�تا ہے تاکہ قرض دینے والوں کا تحفظ ہو سکے۔

پورا نظام ایک فرض پر منحصر ہے: oracle قیمت درست ہو۔

### *2. Exploit میں کیا ہوا؟*

Bonzo کے سیکورٹی ٹیم نے جاری کردہ پوسٹ مارٹم کے مطابق:

*مرحلہ 1: قیمت کا دھوکہ*

حملہ آور نے oracle کے ذریعہ حوالہ بنائے جانے والے کم تر liquidity والے تجارتی جوڑا/ٹریڈنگ پیئر/ٹریڈنگ جوڑا کو نشانہ بنایا۔ فلش لون استعمال کرتے ہوئے، انھوں نے صرف ایک بلاک میں ایک DEX پر Asset X کی قیمت 42% تک نीچے دھکیل دی۔

*مرحلہ 2: Oracle Latch*

Bonzo کا oracle اس DEX سے اپڈیٹ ہوا۔ چونکہ پول پتلا تھا اور oracle کا TWAP ونڈو مختصر تھا، اس لیے بربر قیمت کو "درست" سمجھ لیا گيا۔

*مرحلہ 3: مجبور لیکویڈیشنز*

پروٹوکول نے بہت سارے اکاؤنٹس کو غیر ضمانت شدہ سمجھ لیا۔ اس نے دھوکہ دینے والی قیمت پر لیکویڈیشنز شروع کر دِئيں۔ حمله آور، یا حمله آور کے ساتھ کام کرنے والے بُٹس، نے 40%+ کم سود پر ضمانت خرید لِي۔

*مرحلہ 4: قیمت معمول پر واپس آنا*

بلوك کے بعد، قیمت معمول پر آ گئي۔ لیکن لیکویڈیشنز غیر قابل واپسی تھيں۔ صارفین کا $18M ضمانت بہت زائد قدر سے فروخت ہو گيا۔

کل پروٹوکول برباد: $0۔ Bonzo کا انشورنس فنڈ قرض دینے والوں کے نقصانات کو پُرا بھرا۔ صارفین کے نقصانات لیکویڈیشنز سے ہوئے۔

### *3. اس کام کرنے کا سبب*

�ہ ا ek "oracle manipulation" حملہ ہے۔ جب تین شرائط موجود ہوں تو �ہ کام کرتا ہے:

*1. کم تر liquidity حوالہ*

oracle نے $2M سے کم liquidity والے DEX پول کو بنیادی ذرائع كي طور استعمال كيا۔ $5M-$10M سے آسانى سے حرکت دِي جا سكتى ہيں۔

*2. مختصر وقت ونڈو*

TWAP 10 منٹ تھا۔ متغیر بازار ميں، يه فلش كرَش كو سMOOTH كرنे كे لئي كافي نهىں۔

*3. سرکٹ برېکرز نهىں*

"قِيمت ميں X% سे زائد انحراف vs دوسر ذرائع" كى جانچ نهىں تھي۔ oracle نے صرف ايك ذريعه پر بھروسه كيا۔

�ه اسمارٹ کنٹرีکٹ باگ نهىں ہيں۔ کوڈ وaise hi kaam kiya jaisa likha gaya tha۔ يه ايك معاشي طراحي كى خامى تھي۔

### *4. جواب: Bonzo نے صحيح كيا*

4 گھنٹوں ميں، Bonzo:

1. *تمام ماركتس روک دِئيں* تاکہ مزید نقصان روکا جا سکے

2. *حمله آور سے منسلک والٹ ایڈرีس/والیٹ ایڈرีسز شائع كِئيں*

3. *مکمل جانچ كे لئي 3 آڈِٹ فِرمز سے رابطه كيا*

4. *خزانچي اور مستقبل كى فees استعمال كرتے هويں مكافات كى منصوبه كا اعلان كيا*

5. *oracles ko متعدد ذرائع، 1-گھنٹه TWAP، انحراف جانچ كे ساتھ بدل دِيا*

انھوں نے چورى شدہ فنڈز كى نشاندِهي كرنे كे لئي زنجير تجزيې فِرمز كى رپورٹس بھي جمع كروا دِيں۔

�ه حادثه كى رِپونس كى نئي معيار هـي۔ تيز، شفاف، اور صارفين كى لئي منصوبه كे ساتھ۔

### *5. DeFi سِيكيوريٹي كى لئي يه كيا معنى رَखتا هـي*

Oracle exploits DeFi نقصانات كى دوسري بڑي وجوه هـي bridge hacks كे بعد۔ يه هر پروٹوكول كى لئي سبق هـي:

*متعدد ذرائع استعمال كريں*

كِسِي بھي oracle ko صرف ek DEX پر انحصار نهىں كرنا چاهئيئ۔ Chainlink، Pyth، اور 2-3 DEXs استعمال كريں، پھر ميڊين لئيں۔

*طويل TWAPs*

10 منٹ متغیر اثاثوں كى لئي بहت كم هـي۔ 1 گھنٹه يا زائد محفوظ هـي۔

*سرکٹ برېکرز*

اگر قيمت دوسروں ذرائع كى نسبت 1 بلاك ميں >15% حرڪت كري، تو روكن اور حكومتي جانچ طلب كريں۔

*لِكويديتي شرائط*

صرف $50M سे زائد پولز استعمال كريں۔ اگر دستياب نهىں، تو اثاثه كى فهرست نهىں بنائىں۔

*انشورنس اور خزانچي*

Bonzo كا انشورنس فنڈ قرض دين والوں كى تحفظ كيا۔ جس پروٹوكول ميں يه نهىں هـي، وه exploit كे بعد مر جائينگي۔

### *6. صارفين اور بازار پر اثر*

*Bonzo صارفين كى لئي*: اگر آپ لีكويڈيد هُئي تو آپ نقصان برداشت كيا۔ مكافات منصوبه منصوبه آمدنى سे 6 ماھ ميں 60-80% كاور كريگا۔ مثالى نهىں، لे�كِن صفر سे بَetter هـي۔

*قرض دين والوں كى لئي*: कोई نقصان نहीं। انشورنس فنڈ منصوبه كى طرح kaam kiya।

*صِنعت كى لئي*: Bonzo ميں TVL 24 گھنٹوں ميں 35% گِرا۔ دوسرې قرض دين والې پروٹوكولز ميں انفلوز آيا جب صارفين "محفوظ" برانڈز كى طرف منتقل هُئيں۔

بازار نे يه "محصور" سمجھا۔ بڑې اثاثوں تك فضايت نهىں هُئي۔ لे�كِن رائج رُجحان متاثر هُيا۔

### *7. بڑا تصوير: برباد نهىں، بلكِل بڑھ رها هـي*

كل مالياتي نظام ميں exploits هوتې هـين۔ بینكز ميں دھوکه هوتا هـي۔ شير بازار ميں فلش كرَش هوتې هـين۔ DeFi ميں oracle حملې هوتې هـين۔

فرق وقت هـي۔ DeFi ميں، ek exploit صرف 12 سيكوند ميں هوتا هـي اور سب يه آن-چين دेखتې هـين۔

اچھى خبر: صنعت بھي تيزى سے جواب ديتى هـي۔ 2020 ميں، يه تسلّم كرنे ميں 2 هفتې لگتې تھې۔ 2026 ميں، يه صرف 4 گھنٹې لگا。

هم آج بھترین آلآت دِkhائى ديتې هـين:

- ريل-ไทم oracle monitoring

- معاشياتي سِيكوريٹي آڈِٹس

- آن-چين سرکٹ برېکرز

- P