Hedera最大借贷协议Bonzo因预言机漏洞攻击损失900万美元_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Hedera最大借贷协议Bonzo因预言机漏洞攻击损失900万美元

2026-07-12 04:45:05

Bonzo Finance 因预言机验证漏洞损失约 905 万美元

7月11日，Hedera网络最大的活跃借贷协议Bonzo Finance因第三方价格预言机的验证缺陷，遭到攻击者利用，损失约905万美元。攻击者仅凭价值数美元的抵押品，便成功借出了数百万枚USDC和封装版HBAR。据报道，事件发生后，Bonzo Lend和Bonzo Points服务已暂停，而Bonzo Vaults、其跨链桥以及BONZO/XBONZO质押功能仍保持运行。

零签名预言机漏洞引发900万美元攻击

根据Bonzo的初步事件报告，攻击者于UTC时间00:39首先存入了250枚SAUCE代币。随后在00:51，该钱包向Supra的按需预言机合约提交了一个被篡改的SAUCE对HBAR价格。该更新将SAUCE的价值人为抬高了约12个数量级。八秒后，该钱包借出了663万枚USDC，紧接着又借出了约3452万枚WHBAR。此次失误源于预言机的签名验证过程。

Bonzo表示，提交的价格更新携带了一个归零的BLS签名，表示为[0,0]，并引用了一个同样实际为零的委员会公钥。Hedera的配对预编译合约对于收到的数学恒等式返回了“真”，这符合EIP-197规范。然而，Supra的验证器据称在将结果视为授权签名的证明之前，未能拒绝零值或无效子群输入。Bonzo强调，其借贷合约并未出现故障。这款基于Aave的协议读取了其配置的预言机所存储的价格，并根据其贷款价值比规则计算了借款额度。团队还表示，此次攻击并未涉及闪电贷或真正的市场操纵，因为SAUCE的实际交易价格仍保持在0.2 HBAR附近。

据Bonzo和Hedera方面称，Supra已承认验证器存在问题，并已对受影响的Hedera合约部署了修复程序。

Bonzo 等待白帽黑客归还约100万美元

905万美元的总体损失中，不包括在虚假价格有效期间由第二个账户借出的约100万美元。该钱包随后联系了团队，自称是白帽响应者，并承诺归还资产。因此，Bonzo将第二笔金额归类为潜在可追回资产，但最终数字将取决于在利息、兑换和交易成本结算后实际归还的数额。

UTC时间01:36，一次合法的预言机更新恢复了SAUCE的正确价格，五分钟后，Bonzo暂停了借贷池。然而，该协议尚未公布任何赔偿计划或重新开放提现的日期。其报告称，补救措施、流动性提供者访问权限以及其他面向用户的步骤仍在与Bonzo Finance基金会及生态系统合作伙伴共同制定中。考虑到Bonzo在Hedera网络借贷市场中的主导地位，此次事件对该网络影响尤为重大。

根据DefiLlama的数据，攻击事件发生后，Bonzo Lend的剩余总锁仓价值约为274万美元，活跃贷款约为1324万美元。Hedera网络上列出的其他借贷协议仅为一个已废弃的、持有极少量价值的协议。

Hedera此前曾将Bonzo描述为一个基于Aave、支持HBAR、Hedera代币服务资产及USDC的非托管信贷市场。尽管Hedera基础网络运行正常，但此次攻击表明，DeFi应用会继承来自外部基础设施的风险。集成多个预言机可以提高冗余性，但这并不能消除在异常数据决定抵押品价值和借款限额之前，进行严格密码学验证、设置价格偏差限制以及部署紧急断路器的必要性。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文