基於 Hedera 的 Bonzo Lend 因 Supra 預言機漏洞損失 900 萬美元... 已發布安全警報

2026 年 7 月 11 日，基於 Hedera 網絡的借貸協議 Bonzo Lend 發生了一宗涉及約 900 萬美元資產流出的安全事故。經確認，是次攻擊針對該協議所使用的 Supra 鏈上預言機驗證器的特定缺陷。身份不明的攻擊者人為抬高抵押品價值，耗盡了協議內的流動性，這對 Hedera 社群造成了巨大衝擊。

是次事故於 2026 年 7 月 11 日上午（UTC 時間）首次被發現，預計將成為 Hedera 生態系統中歷來規模最大的安全漏洞案例之一。攻擊者利用預言機系統的漏洞，在短時間內成功奪取了高達 900 萬美元的資金。Bonzo Lend 團隊經即時調查後確認，是次事件是由外部攻擊者蓄意操縱預言機所致。

「攻擊者利用 SAUCE 代幣作為抵押品，並趁著 Supra 預言機的驗證錯誤，將該資產的價值定得異常高，從而進行借貸。」

攻擊者在存入 SAUCE 代幣作為抵押品後，透過操縱預言機數據，使其獲得遠高於該代幣市場價格的估值。基於這種被誇大的抵押品價值，攻擊者過度借出了協議提供的其他優質資產。結果導致 Bonzo Lend 的流動性池被掏空，普通用戶的資產提取亦被迫暫時中斷。

Supra 預言機驗證器的技術缺陷

這次漏洞利用的核心原因被歸咎於 Supra 鏈上預言機驗證器（Verifier）中存在的技術漏洞。該驗證器未能準確驗證外部傳入的價格數據，為攻擊者提供了注入操縱價格信息的通道。儘管預言機是向智能合約傳遞外部市場信息的關鍵基礎設施，但在這次案例中，它反而成為了安全鏈條中最薄弱的一環。

• Supra 鏈上驗證器的價格數據有效性檢查失敗
• 實時市場價格與預言機報告價格之間出現不一致
• 基於操縱數據的異常抵押品價值估算及貸款執行

在事故發生前，Hedera 的原生代幣 HBAR 一直保持相對穩定的走勢。從 2026 年 7 月 6 日到 7 月 9 日，HBAR 價格在約 0.069 美元至 0.073 美元之間的區間內交易。特別是在 7 月 7 日，交易量飆升至約 5,990 萬美元，出現了短暫的活躍，但整體市場波動性保持在較低水平，顯示出穩定的生態系統指標。

一般而言，去中心化金融（DeFi）領域的預言機操縱是通過針對低流動性池的大規模交易或閃電貸（Flash Loan）來實現的。攻擊者暫時扭曲特定資產的價格，然後誘導預言機將此扭曲價格反映到協議中，從而獲取利潤。Bonzo Lend 的案例也可以看作是這種典型預言機攻擊技術的變體，再次提醒了數據源可靠性和驗證邏輯的重要性。

Bonzo Lend 在事故發生後立即停止了協議運行，並開始評估損失規模及制定對策。Hedera 社區內有強烈聲音擔心這次事故會導致整個生態系統的信任度下降。特別是隨著使用 Supra 預言機的其他項目也可能面臨潛在風險的說法出現，對整個網絡進行安全檢查的必要性日益凸顯。

這次 900 萬美元的損失被視為加強 Hedera 網絡內安全標準的強烈信號。未來，各協議應對預言機驗證器進行更嚴格的安全審計，並應引入多重預言機系統以分散風險，而非依賴單一預言機。專家評估認為，這次事件留下了 Hedera DeFi 生態系統為了進一步成熟而必須解決的安全課題。

總結來說，Bonzo Lend 的這次安全事故展示了預言機基礎設施的脆弱性如何導致整個協議的崩潰。在討論損失修復和用戶補償方案的同時，Hedera 基金會及相關項目的後續應對將成為生態系統恢復的關鍵。用戶在存入資產時，需要更仔細地審查該協議的預言機結構和安全審計歷史。