BounceBit 286,5M BB Transferi Sonrası Layer 1'i Kapatıyor

Bitcoin odaklı CeDeFi protokolü BounceBit, bir saldırganın dokuz ana ağ hesabından 286,5 milyon BB çekmesinin ardından Layer 1 blokzincirini kalıcı olarak emekliye ayırdı. Ekibin resmi olay analizi, saldırganın herhangi bir özel anahtar, cüzdan veya fiziksel cihaz elde etmediğini ve yetkisiz transferlerin protokol düzeyindeki bir yetkilendirme hatasından kaynaklandığını doğruladı. Evmos yığını üzerine inşa edilen bir Layer 1 uygulama zinciri olan BounceBit Chain, akıllı sözleşmelerin vesting ve kilitli hesapları yöneten modül de dahil olmak üzere yerel protokol modüllerini doğrudan çağırmasına izin veriyordu. Akıllı sözleşme yolu boyunca, bir fon sağlayıcı hesabının transferi yetkilendirmesini gerektiren bağlama atlanırken, ikinci bir yetkilendirme kontrolü yanlış hesap üzerinden değerlendirildi. Bu hata, saldırganın hesap sahibinin rızası olmadan herhangi bir hesabı fon kaynağı olarak belirlemesine olanak tanıdı. Saldırgan, 19-20 Ağustos tarihlerinde 4 saat 52 dakikalık bir süre içinde iki hesap ve 15 tek kullanımlık sözleşme kullanarak 14 işlem gerçekleştirdi. Blok üretimi, son transferden yaklaşık 42 dakika sonra 20.702.857 yüksekliğinde durdu. BounceBit, rutin bir yükseltme denemek yerine, zinciri geri yüklemenin tam bir yeniden inşa, yeniden denetim ve yeniden doğrulama gerektireceğini, özellikle de Evmos'un kendisinin kullanımdan kaldırıldığını belirtti. BounceBit'in CeDeFi Stratejisi, Promo Vault'ları, Prime ve RWA ürünleri etkilenmedi ve token, BNB Chain üzerinde BEP-20 varlığı olarak yeniden ihraç edilecek. Bu ihlal, bu hafta başında üst düzey bir bağımlılıkta bir kusur bulunmasının ardından ağını donduran MANTRA'daki güvenlik olayını anımsatıyor.

BounceBit, BB sahipleri için anlık görüntüye dayalı bir kurtarma planı açıkladı; bakiyeler, 19 Ağustos 2026, 21:02:35 UTC zaman damgalı 20.697.260 numaralı bloktan itibaren sabitleniyor. Ekip, bu bloğu, yetkisiz faaliyetlerden önceki son doğrulanmış durumu temsil ettiği için seçti. Olay sırasında transfer edilen her BB token, yeniden ihraç edilen BEP-20 arzına dahil edilmiyor. 5 saat 34 dakikalık saldırı penceresi içinde gerçekleştirilen işlemler tersine çevriliyor: alıcılar bu alımların iptal edildiğini görecek, satıcılar ise gönderdikleri BB'yi geri alacak. Stake edilmiş ve unbonding bakiyeleri anlık görüntüye dahil ediliyor; yani saldırıdan önce token'larını kilitlemiş kullanıcılar kapsam altında kalmaya devam ediyor. Proje, yeniden ihraç edilen altcoin'leri otomatik olarak eşleşen BNB Chain adreslerine kredi olarak yansıtacak ve herhangi bir talep sitesi olmayacak; bu, kullanıcıların token toplamak için bir portala gitmesi gereken standart airdrop akışına kıyasla bilinçli bir farklılık. Ekip aksaklığı kabul etti ve hiçbir şeyin sona ermediğini veya acele edilmediğini söyledi. Piyasa verileri, BB'nin 24 saatte yüzde 16 artışla 0,0111 dolar civarında işlem gördüğünü gösteriyor; token 20 Ağustos'ta saldırı öncesi seviyesinin yaklaşık yüzde 31 altında olan 0,0079 dolarlık rekor düşük seviyeyi kaydetmişti. Bu, BB'yi haftaya başladığı yere geri getiriyor. Çalınan arz, 2,1 milyarlık maksimum token arzının yaklaşık yüzde 13,6'sına denk geliyor ve mevcut fiyatlarla yaklaşık 3,2 milyon dolar değerinde. Ekip, BEP-20 göçü için bir tamamlanma tarihi belirtmedi.

BounceBit'in zinciri yamamak yerine emekliye ayırma kararı, altta yatan teknolojinin durumunu yansıtıyor. BounceBit Chain'in üzerine inşa edildiği Evmos yığını da kullanımdan kaldırılmış durumda ve istismar edilen güvenlik açığı bu çerçevenin doğasında vardı; ekip, çatalı halef bir kod tabanına taşımanın rutin bir yükseltme değil, tam bir yeniden inşa, yeniden denetim ve yeniden doğrulama gerektireceği sonucuna vardı. Projenin çekirdek ürünleri — CeDeFi Stratejisi, Promo Vault'lar, Prime ve RWA — etkilenmedi ve çoğu, kullanıcı faaliyetlerinin yoğunlaştığı BNB Chain üzerinde zaten mevcut. BNB Chain üzerinde konsolide olmak BounceBit'e daha olgun bir güvenlik ekosistemi, daha derin likidite, daha geniş cüzdan ve uygulama desteği ile çok daha büyük bir kullanıcı ve geliştirici tabanı sağlıyor. BEP-20, BNB Chain genelinde kullanılan token standardıdır ve cüzdan, borsa ve DeFi uygulama desteğini kolaylaştırır. Şubat 2024'te Blockchain Capital ve Breyer Capital liderliğindeki tohum turunda 6 milyon dolar toplayan BounceBit, modelini merkezi varlık yönetimi korumalarını akıllı sözleşme verimliliğiyle birleştiren CeDeFi olarak tanımlıyor. Sunumları arasında Bitcoin mevduatlarında getiri üretimi, BB cinsinden türev işlemleri ve ABD Hazine tahvilleri ile altın gibi tokenize gerçek dünya varlıkları yer alıyor; geçen yıl Franklin Templeton'ın tokenize para piyasası fonu, BB Prime'a teminat varlığı olarak entegre edilmişti. Ekip, etkilenen dokuz hesapla iletişime geçti ve kullanıcıları kimlik avı girişimlerine karşı dikkatli olmaları konusunda uyardı; anlık görüntünün bu hesapları ilk yetkisiz işlemden hemen önceki durumlarına geri döndüreceğini ve kullanıcılardan herhangi bir işlem talep edilmediğini belirtti.

Buradaki ortak nokta, bir ihlalin ardından güvenin yeniden tesis edilmesi: kök nedeni yayınlamak, bakiyeleri doğrulanabilir bir anlık görüntüde düzeltmek ve temiz bir şekilde yeniden dağıtmak. Zincir üstü veriler boyutu doğruluyor: dokuz hesaptan 14 işlemle 286,5 milyon BB çekildi. Resmi olay analizi, istismarı vesting hesaplarını işleyen Evmos modülündeki bir yetkilendirme kontrolü atlatmasına bağlıyor ve hatayı kullanıcı anahtarları yerine zincirin iç mantığına yerleştiriyor; kör imzalama veya kullanıcı onayı gerekli değildi. Alınan önlem — kalıcı zincir emekliliği ve çalınan her token'ı hariç tutan yeniden ihraç edilmiş BEP-20 arzı — net ve açık. Ancak olay analizi, saldırganın kimliğinin belirlenmesi veya fonların takibini ele almıyor. Bu yazı hazırlanırken, BB'nin spot fiyatı son 24 saatte yüzde 6,9 düşüş gösteriyor.