Bonzo Lend, Hedera'da SAUCE Manipülasyonu ile $9M Zarar…
Bonzo, bir Supra oracle doğrulayıcısının 6.63M USDC ve 34.5M wrapped HBAR borçlanmasını sağlayan sıfırlı imza güncellemesini kabul ettiğini söylüyor.
Hedera tabanlı kredi protokolü Bonzo Lend, teminat olarak kullanılan SAUCE'un oracle fiyatının manipüle edilmesinin ardından yaklaşık 9 milyon dolarlık bir kayıp bildirdi. Bonzo, olayı, manipüle edilmiş bir fiyat güncellemesini kabul eden Supra'nın zincir üstü oracle doğrulayıcısındaki bir hataya atfetti ve bir düzeltmenin uygulandığını söyledi.
Ana Noktalar
- Bonzo Lend, SAUCE'un teminat olarak kullanılması sonrası yaklaşık 9 milyon dolarlık ekonomik etki tahmin etti.teminat fiyatının, yatırılan değerin çok üzerinde borçlanmayı sağlamak için manipüle edildi.
- Sadece birkaç dolara değer olduğu belirtilen 250 SAUCE yatırımı, SAUCE'un değerini yaklaşık 12 büyüklük sırası kadar artıran bir fiyat güncellemesinden önce gerçekleşti.
- Manipüle edilmiş fiyat, Bonzo Lend'in kredi havuzundan 6.63 milyon USDC ve 34.5 milyon wrapped HBAR borç almak için kullanıldı.
- Bonzo, temel nedeni, sıfırlanmış imzalı bir fiyat güncellemesini kabul eden Supra'nın zincir üstü oracle doğrulayıcısına bağladı ve Supra sorunu kabul ederek bir düzeltme uyguladı.
Bonzo Lend, SAUCE fiyatı yaklaşık 12 büyüklük sırası kadar şişirildikten sonra boşaldı.
Bonzo Lend'in olay ifşası, fiyat girdisi bozulduğunda DeFi kredi sisteminin nasıl kırıldığını gösteren temiz bir örnektir. Protokol, bir saldırganın teminat olarak kullanılan SAUCE'un fiyatını manipüle etmesinin ardından, bu şişirilmiş değerleme üzerinden borç almasının ekonomik etkisini yaklaşık 9 milyon dolar olarak tahmin etti.
Dikkat çeken, saldırganın başlangıç noktası ile protokolün sonuçta yaşadığı kayıp arasındaki ölçek uyumsuzluğudur. Bonzo, saldırganın başlangıçtaki mevduatını yalnızca birkaç dolara değer olan 250 SAUCE olarak tanımladı, ancak aşağı akıştaki borçlanma, havuzdan anlamlı likidite çekmek için yeterince büyüktü.
Bonzo, başarısız olmadığını düşündüğü şeylerin etrafında da net bir çizgi çizdi. Protokol, olayın Bonzo Lend’in sözleşmelerinde veya Hedera’nın ana ağında bir zayıflık olmadığını vurguladı. Bu çerçeve, traderların ikinci dereceden riskleri nasıl düşünmesi gerektiği açısından önemlidir. Temel katman ve uygulama mantığı "çalışıyor" olsa bile, dış bağımlılıklar hâlâ kötü verilerden gerçek bilanço zararına doğrudan bir yol oluşturabilir.
250 SAUCE Nasıl 6.63M USDC ve 34.5M Wrapped HBAR Borçlanmasının Anahtarı Haline Geldi
Bonzo'nun tanımladığı gibi mekanikler basit ve acımasızdır.
Saldırgan 250 SAUCE yatırdı, ardından SAUCE'un değerini yaklaşık 12 büyüklük sırası kadar artıran bir fiyat güncellemesi sundu. O manipüle edilmiş fiyat kabul edildikten sonra, hesap neredeyse değersiz teminatı yüksek değerli teminat olarak değerlendirebiliyordu.
Buradan, çıkarım borçlanma yoluyla gerçekleştirildi, bir kasadan doğrudan fon çalma değil. Bonzo, cüzdanın borçlanma havuzundan 6.63 milyon USDC ve 34.5 milyon sarılı HBAR aldığını söyledi.
Bu nedenle, istismarın avantajı veri bütünlüğüydü, sermaye büyüklüğü değil. Saldırganın masaya anlamlı bir sermaye getirmesine gerek yoktu. “Sermaye”, birkaç dolar SAUCE'u bir oracle fiyatına dönüştürerek üretildi.varlıkprotokolün karşılık vereceği.
Tüccarlar için, hemen odak noktası yalnızca SAUCE spotu değil. Borç alınan varlıklar USDC ve sarılmış HBAR'dır, bu da dikkati Hedera DeFi etrafındaki stablecoin ve sarılmış varlık likidite koşullarına yönlendiriyor. Pratik anlamda, soru bu varlıkların bir sonraki hareketinin neresi olacağı ve bir kredi havuzu bu büyüklükte bir darbe aldığında likidite koşullarının ne kadar hızlı sıkılaşacağıdır.
Supra Oracle Doğrulayıcısı Sıfırlanmış İmza Fiyat Güncellemesini Kabul Etti, Bonzo Diyor
Bonzo’nun kök neden atfı, belirli bir hata moduna işaret ediyor: zincir üzerindeki oracle doğrulayıcı.
Bonzo, olayın, sıfırlanmış bir imza taşıyan manipüle edilmiş bir SAUCE fiyatını kabul eden Supra'nın zincir üzerindeki oracle doğrulayıcısındaki bir kusurdan kaynaklandığını söyledi. Bonzo'ya göre, Supra sorunu kabul etti ve bir düzeltme uyguladı.
Bu ayrıntı, titizlik yükünü değiştiriyor. Eğer hata, geçersiz şekilde imzalanmış bir güncellemeyi kabul eden doğrulayıcıda ise, o zaman ana soru Bonzo’nun kredi matematiğinin yanlış olup olmadığı değil. Ana soru, üçüncü taraf fiyat güncellemeleri etrafındaki entegrasyon ve doğrulama varsayımlarının düşmanca koşullar için yeterince sağlam olup olmadığıdır.
Bonzo’nun, ne Hedera’nın ana ağının ne de Bonzo Lend’in sözleşmelerinin zayıflık olduğunu belirten ifadesi, bir anlamda patlama alanını daraltıyor, ancak ekosistem düzeyinde yeniden fiyatlandırmayı ortadan kaldırmıyor. Tüccarların daha yüksek bir risk primi talep etmesi için bir zincir hatasına ihtiyaçları yok.
Sadece kritik bir bağımlılığın atlanabileceğine ve protokol likiditesinin bunun sonucunda boşaltılabileceğine dair kanıta ihtiyaçları var.
Düzeltmeden Sonra Tüccarların Takip Etmesi Gereken Sinyaller: Piyasa Durumu, Olay Sonrası Ayrıntılar ve Bulaşıcılık Riski
Düzeltme dağıtıldı, ancak paket birkaç piyasa ile ilgili bilinmeyeni çözmeden bırakıyor.
Öncelikle, Bonzo Lend'in olaydan sonra piyasaları durdurup durdurmadığı, borç almayı durdurup durdurmadığı veya teminat parametrelerini değiştirip değiştirmediği konusunda onay gerekmektedir. Bu operasyonel yanıt, protokolün sınırlama modunda mı yoksa hasarın üstesinden gelmeye mi çalıştığını belirler.
İkincisi, otopsi detayları başlık numarasından daha önemlidir. Paket, tam olarak istismar zaman damgasını, herhangi bir fonun geri alınıp alınmadığını veya saldırganın kimliğinin belirlenip belirlenmediğini belirtmiyor. Bu ayrıntılar, tüccarların tekrar edilebilirliği nasıl değerlendireceğini ve akıtmanın kullanıcılar için gerçekleşmiş bir kayba dönüşme olasılığını şekillendirecektir.
Üçüncüsü, Supra'dan gelen takip teknik detayı, önemli bir bağımlılık sinyalidir. Bonzo'nun atıfı kesin, ancak paket perspektifinden kapsam sorusu açık kalmaktadır: Diğer entegrasyonların aynı sıfırlanmış imza kabul sorunundan etkilenip etkilenmediği.
Son olarak, Hedera DeFi'deki USDC ve wrapped HBAR likiditesi etrafındaki on-chain ve piyasa sinyallerini izleyin. Borç alınan miktarlar 6.63 milyon USDC ve 34.5 milyon wrapped HBAR'dır. Eğer likidite koşulları sıkılaşırsa, ikinci dereceden etki yalnızca bir protokolün kaybı değildir. Bu, ekosistemin ne kadar kaldıraçla güvenli bir şekilde desteklenebileceğinin daha geniş bir yeniden fiyatlandırmasıdır.
Bu, bir Doğrulayıcı-Doğrulama Hatası Gibi Görünüyor, Zincir Hatası Değil—Ama Yine de Hedera DeFi Risk Primini Etkiliyor
Bunu bir ders kitabı oracle-doğrulayıcı doğrulama hatası olarak ele alıyorum, çünkü Bonzo bunu tam olarak böyle çerçeveledi: sıfırlanmış bir imza ile manipüle edilmiş bir SAUCE fiyat güncellemesi kabul edildi ve bu kabul, asla olmaması gereken bir borçlanma gücünü açtı. Zincirin kırılmasına gerek yoktu. Borç verme sözleşimlerinin belirgin bir hataya ihtiyacı yoktu. Tek bir zayıfbağlantıveri yolundaki yeterliydi.
Dikkate değer olan desen asimetri. Saldırganın başlangıç teminatı yalnızca birkaç dolara değer olduğu belirtilen 250 SAUCE idi, ancak protokol, 6.63 milyon USDC ve 34.5 milyon wrapped HBAR borç alındıktan sonra yaklaşık 9 milyon dolarlık bir etki bildirmektedir. Bu, tüccarları "kim fayda sağlıyor?"
diye sormaya zorlayan bir kayıp profilidir ve bu tür olaylarda cevap her zaman aynıdır: Fiyat beslemesine gerektiğinden daha fazla güvenen bir sistemden likidite çekme pozisyonunda olan herkes.
İzlediğim üç senaryo var ve her birinin net onay noktaları var.
Birinci senaryo, sınırlı ekosistem sızıntısıyla birlikte containment. Bu, Bonzo'nun takip eden açıklamaları, duraklatma veya parametre değişiklikleri gibi kesin piyasa eylemlerini gösterirse onaylanır, ayrıca iyileşme veya hafifletme kanıtları da gereklidir. Paket henüz bu bilgileri sağlamıyor, bu nedenle bu onaylanmamış durumda kalıyor.
İkinci senaryo, daha geniş oracle entegrasyonu incelemesi. Bu, Supra'nın takip eden teknik detayları, sıfırlanmış imza kabulünün diğer dağıtımları etkileyebileceğini gösterirse onaylanır veya diğer protokoller benzer doğrulayıcı varsayımlarını açıklarsa. Yine, paket yalnızca bir düzeltmenin uygulandığını onaylıyor, kapsamını değil.
Üçüncü senaryo, Hedera DeFi içindeki likidite odaklı bulaşma. Bu, rapor edilen borç miktarlarından sonra USDC ve wrapped HBAR likidite koşulları görünür şekilde sıkılaşırsa onaylanır, çünkü bunlar havuzdan çıkan varlıklardır. Buradaki anahtar, tüccarların riski likiditenin gerçekten hareket ettiği yerde fiyatlandırmasıdır, teminatın başladığı yerde değil.
Mevcut verilere dayanan temel okumam, bu olayın Hedera DeFi'nin risk primini artırdığıdır, bu bir Hedera çekirdek hatası olmadan bile, ve tez, olay sonrası açıklamalar 6.63M USDC ve 34.5M wrapped HBAR çekimi sonrasında piyasa işlemlerinin sıkılaştığını ve USDC ile wrapped HBAR likiditesinde sürdürülen hassasiyeti gösterirse onaylanır.
