Bonzo Lend在Hedera因预言机攻击损失900万美元_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Bonzo Lend在Hedera因预言机攻击损失900万美元

2026-07-11 21:45:23

基于Hedera网络的借贷协议Bonzo Lend遭受攻击，损失约900万美元。攻击者利用用于评估抵押品的代币定价机制漏洞，通过操纵通过预言机提交的SAUCE代币价格，从Bonzo的流动性池中借出了远超其存入抵押品实际价值的资金。

Bonzo在周六发布的初步事件报告中指出，攻击者首先存入250枚SAUCE代币——该协议称其在正常估值下仅价值几美元。随后，攻击者提交了一次价格更新，将SAUCE的报告价值人为抬高了约12个数量级。凭借这一虚高的价格，攻击者成功借出了663万枚USDC和3450万枚封装HBAR代币。

核心要点

Bonzo Lend估计，此次因SAUCE价格被操纵导致超额借贷事件的经济影响约为900万美元。报告将问题追溯至Supra链上预言机验证器，该验证器接受了一次带有零值签名的篡改价格更新。Bonzo强调，此次攻击并非由其自身合约漏洞或Hedera核心网络缺陷所致。该事件凸显了DeFi领域一个反复出现的故障模式：预言机弱点可能将低价值抵押品变为提取资金的杠杆。

小额抵押品如何引发大规模资金流失

Bonzo的事件报告详细描述了针对抵押品估值的攻击手法。借贷协议依赖准确的价格反馈来决定借款人可以基于其存入资产借出多少资金。如果价格预言机可以被操纵，或者验证逻辑不足，那么抵押品检查在实际操作中就可能被绕过。

根据Bonzo的说法，攻击者的钱包采用了分两步走的方法。首先，存入250枚SAUCE作为抵押品。其次，提交一次预言机价格更新，声称SAUCE估值大幅提高，据称被抬高了约12个数量级。一旦系统相信SAUCE价值远超实际，就会允许攻击者提取远超原始存款所对应价值的流动性。

Bonzo报告的结果是，攻击者总共借出了663万枚USDC和3450万枚封装HBAR。虽然协议底层基础设施按预期运行，但被破坏的定价假设导致了抵押品价值与借入资金之间的错配。

Bonzo指出的致使攻击成功的预言机验证器故障

Bonzo将此次事件归因于Supra链上预言机验证器的一个缺陷。该协议表示，验证器接受了一次带有零值签名的被篡改的SAUCE价格更新，使得价格反馈在未经正确加密验证的情况下被更新。Bonzo还报告称，Supra已承认该问题并部署了修复程序。同时，Bonzo强调，此事件并非Bonzo Lend合约的漏洞，也与Hedera底层网络无关。

对用户和集成商来说，这一区别至关重要。它凸显出，即使借贷逻辑和网络共识是稳定的，第三方预言机组件或其周围的验证层仍可能造成严重的安全漏洞。该报告也进一步说明，预言机安全不仅关乎提供正确的价格，更在于确保价格反馈的真实性和防篡改性。

此类事件为何成为DeFi全行业的压力点

Bonzo攻击事件发生之际，DeFi安全正受到高度关注。此前有报道称，第二季度成为有记录以来被攻击次数最多的季度，发生了83起攻击事件，被盗金额约7.55亿美元。其中，跨链桥攻击造成了3.51亿美元损失，而管理员权限攻击和虚假代币价格操纵占季度总损失的37%。

更广泛的生态系统数据也显示出压力。DeFi的总锁仓价值在6月份跌至略高于700亿美元，较1月份的约1150亿美元下降了39%。该时期记录了121起黑客攻击事件，总损失约9.42亿美元，这表明反复出现的安全事件可能削弱了用户信心，并导致部分资金撤离该领域。

在此背景下，由预言机驱动的抵押品操纵符合一种熟悉的模式：攻击者针对的是支撑协议风险模型的机制。当定价假设被打破时，清算保护和抵押品因子可能无法保护流动性提供者。

预言机价格操纵并非新鲜事：类似Stellar案例

Bonzo的报告也让人联想到另一起针对Stellar网络上借贷池的抵押品定价攻击事件。今年2月，攻击者在操纵了用于评估USTRY抵押品价值的价格路径后，从一个YieldBlox DAO管理的借贷池中盗走了约1000万美元。该事件被报道，并指出了类似的手法：改变借贷协议所信任的用于抵押品计算的价格输入。

此类事件的重复发生意义重大。这表明，随着DeFi生态在跨链和资产类型上的扩展，核心弱点往往保持一致：依赖外部定价的系统必须将预言机验证视为安全关键基础设施，而非一个普通组件。

后续关注点

Bonzo的事件报告显示，当前修复工作集中在预言机验证器层，Supra已描述了一个已部署的补救措施。投资者和开发者可能希望关注：修正后的预言机验证能否防止其他集成中出现类似的签名或价格反馈验证绕过问题，以及随着DeFi继续应对安全事件，是否会有额外的审计或预言机提供商变更随之而来。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文