Bonzo Lend遭Hedera预言机攻击损失905万美元，关联Supra漏洞_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Bonzo Lend遭Hedera预言机攻击损失905万美元，关联Supra漏洞

2026-07-12 04:25:22

Bonzo Lend 确认因 Supra 预言机验证器接受了零签名，导致损失 905 万美元。

被操纵的 SAUCE 价格更新使 Wallet A 能够借出远超其实际抵押品价值的资产。

自称为白帽回应者的 Wallet B 借入了 100 万美元，并承诺很快归还资金。

Bonzo Vaults、Bridge 和 Staking 未受影响；仅 Lend 池和积分功能被暂停。

事件概述

Hedera 上最大的借贷协议 Bonzo Lend 确认，因预言机漏洞导致约 905 万美元的损失。该事件发生在 2026 年 7 月 11 日，当时一名攻击者操纵了 SAUCE 代币的价格数据。Bonzo Finance Labs 与 Bonzo Finance Foundation 合作，将本次漏洞追溯到 Supra 预言机合约中的一个验证缺陷。目前借贷池已暂停，团队正在调查恢复方案及后续步骤。

预言机验证失败如何发生

本次攻击的目标是 Supra 的链上预言机验证器，而非 Bonzo Lend 自身的合约。一个名为 Wallet A 的账户提交了一个携带零值 BLS 签名的价格更新。该更新本应被拒绝，但验证器却将其视为有效签名并予以接受。Supra 的预言机会发布经过签名的价格更新，供 Bonzo Lend 等协议读取。由于签名和引用的委员会密钥均为零，配对计算返回了真值。预编译合约正确回答了该狭窄问题，但验证器却将其误读为有效签名。被操纵的更新将 SAUCE 的记录价格抬高了约12个数量级。当虚假数据上链时，SAUCE 的交易价格接近 0.2 HBAR。八秒后，Wallet A 利用这一被夸大的抵押品，借出了远超其实际价值的资产。Bonzo Finance Labs 强调，其借贷合约在整个过程中按设计正常运行。该池使用预言机提供的价格计算抵押品价值和借贷能力。面对被操纵的输入，协议只是按其代码设定的逻辑产生了相应输出。

钱包活动与白帽回应

在被操纵的价格更新上链前，Wallet A 存入了 250 个 SAUCE 代币，价值仅数美元。虚假估值生效后，该账户在同一分钟内借入了 6,634,528 USDC 和超过 3450 万 WHBAR。另一个名为 Wallet B 的账户在虚假价格有效期间借入了约 100 万美元。Wallet B 随后通过 Discord 频道直接联系了 Bonzo 团队。该账户自称是白帽回应者，并表示打算归还资金。由于预计这些资产将被归还，Bonzo Finance Labs 将这笔金额归类为可回收项，并已从 905 万美元的 headline 损失总额中剔除。如果承诺的归还未能实现，相关会计账目将相应更新。合法的预言机数据发布在 01:36 UTC 将 SAUCE 恢复至接近 0.1964 HBAR 的正常价值。五分钟后，即 01:41 UTC，Bonzo Lend 作为预防措施被暂停。当天上午晚些时候，相关奖励功能 Bonzo Points 也被暂停。

协议状态与协调恢复工作

Bonzo Finance Labs 确认，多个协议组件在此次事件中未受影响。Bonzo Vaults、Bonzo Bridge 以及 BONZO 和 XBONZO 的单边质押均正常运行。只有借贷池及其积分计划被暂停。Supra 已承认该缺陷，并已对受影响的合约部署了修复程序。该补丁使调查人员能够重建零签名如何绕过验证。攻击交易及其内部追踪记录在 Hedera 主网上仍可公开查看。Bonzo Finance Labs 和 Bonzo Finance Foundation 正在协调暂停池的后续步骤。官方尚未说明解除暂停或恢复提款的条件。关于修复措施的进一步更新预计将在单独公告中发布。团队还感谢了来自多个时区的生态系统合作伙伴在调查期间提供的支持。与 Wallet B 就资金归还事宜的协调工作仍在积极进行中。Bonzo Finance Labs 表示，在恢复工作持续进行期间，将继续专注于保持透明度。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文