Hedera(HBAR) DeFi saldırısının nedeni ortaya çıktı: Supra oracle hatası 900 milyon dolarlık açığa yol açtı

Hafta sonu yaşanan ‘900 milyon dolar’lık DeFi saldırısının nedeninin bir *oracle* hatası olduğu ve sorunlu *Hedera(HBAR)* dağıtımının sonunda bu açığa maruz kaldığı ortaya çıktı. *Bonzo Lend*, saldırganın teminat varlıklarını anormal şekilde yüksek fiyatlayarak, gerçek değerinin çok üzerinde borç alabildiğini açıkladı.

*Protos*a göre sorun, blokzincir altyapı şirketi *Supra Network*ün sağladığı oracle’dan kaynaklandı. *Supra*, kısa süre önce 11 farklı ağdaki oracle’larını yamaladı ancak *Hedera* üzerindeki sözleşme bu güncellemelerin dışında kaldı ve sonuçta saldırıya açık hale geldi. Saldırının hemen ardından *Plasma* ekibinden *Usmann Khan* da, *Supra*nın birçok ağdaki oracle’ı yükselttiğini, fakat *Bonzo Lend* tarafından kullanılan *Hedera* sözleşmesinin güncellenmediğini vurguladı.

Yaklaşık 12 saat sonra yayımlanan raporunda *Supra*, hatayı ‘*kriptografik edge case*’ olarak tanımladı ancak diğer ağlardaki dağıtımlarda tam olarak nasıl bir düzeltme yaptığını ayrıntılı paylaşmadı. Şirket yalnızca, “aynı doğrulayıcı desenini paylaşan diğer oracle dağıtımlarını da gözden geçirerek benzer koruma mekanizmalarının uygulanıp uygulanmadığını kontrol ettik” demekle yetindi. *Supra* kurucu ortağı ve CEO’su *Josh Tobkin(Josh Tobkin)* ise, insanlar tarafından 2 yıl boyunca fark edilmeyen bu açığın ‘*yapay zeka destekli bir saldırı*’ ile keşfedildiğini iddia etti.

Ardından *HSuite* kurucusu *Tomachi Anura(Tomachi Anura)*, zincir üstü verileri inceleyerek *Supra*nın 29 Haziran’da *Base* ile başlayıp 3 Temmuz’da *Polygon(MATIC)* ile tamamlanan süreçte toplam 11 ağda proxy yükseltmesi yaptığını ortaya koydu. Ancak *Hedera* ve *Fuse* üzerindeki düzeltmeler saldırıdan sonra hayata geçirildi. *Anura*, kaynak kodu doğrulanmış tüm dağıtımların aynı ‘*SupraSValueFeedVerifier*’ sözleşmesine çıktığını tespit ettiğini, yine de neden güncellemelerin 3 Temmuz’da durduğu sorusunun henüz cevapsız olduğunu belirtti.

Bu olay, *DeFi* ekosisteminde oracle hatalarının ne kadar büyük kayıplara yol açabileceğini bir kez daha gösterdi. Dış fiyat verilerini çeken oracle’lar; kredi verme, tasfiye ve teminat değerlemesinin temel altyapısı olduğu için, küçük görünen bir sapma bile hızla ‘istismar edilebilir fırsat’a dönüşebiliyor. Yakın dönemde oracle manipülasyonlarıyla oluşan kayıplar *3,5 milyon dolar* seviyesine ulaştı. Başka bir vakada ise yalnızca zamanlama uyumsuzluğu yüzünden *Aave(AAVE)* Ethereum piyasasında yaklaşık *27 milyon dolar* değerinde hatalı *wstETH* tasfiyesi gerçekleşti. ‘Oracle güvenliği’nin DeFi genelindeki ‘güven ve istikrar’ için ne kadar kritik olduğu bir kez daha ortaya çıkmış durumda.