Bonzo Lend 指預言機遭利用致約 900 萬美元損失　事件涉 Hedera 生態

Hedera 生態內借貸協議 Bonzo Lend 表示，因代幣定價機制遭攻擊者操控，初步估算造成約 900 萬美元經濟損失。攻擊者透過預言機報價把 SAUCE 作為抵押品的估值大幅抬高，令其可從 Bonzo 的流動性池借出遠超真實抵押價值的資金。 Bonzo 於周六發布的初步事件報告指出，攻擊者先存入 250 枚 SAUCE 作抵押。按正常估值，該筆抵押僅值數美元。其後攻擊者提交一次報價更新，把 SAUCE 的報告價格誇大約 12 個數量級。當系統以被扭曲的價格計算抵押價值後，攻擊者合共借出 663 萬枚 USDC 及 3,450 萬枚 wrapped HBAR。 報告提到，問題源頭可追溯至 Supra 的鏈上預言機驗證器（onchain oracle verifier）。Bonzo 表示，驗證器接納了一個遭篡改的 SAUCE 價格更新，而該更新的簽名被"歸零"，令報價在欠缺正確加密驗證下仍可被寫入。Bonzo 又稱 Supra 已確認問題並部署修補。 Bonzo 強調，是次事件並非由 Bonzo Lend 自身合約漏洞引起，亦與 Hedera 底層網絡無關。對用戶及整合方而言，重點在於：即使借貸邏輯與網絡共識運作正常，第三方預言機元件或其驗證層仍可能形成關鍵安全缺口；預言機安全不止在於"提供正確價格"，亦必須確保價格來源具備真實性及抗篡改能力。 事件亦反映 DeFi 常見失效模式：一旦預言機薄弱，低價抵押品可瞬間變成提款槓桿。報告並提及類似案例：2026 年 2 月，Stellar 上一個由 YieldBlox DAO 管理的借貸池，因 USTRY 抵押品估值的價格路徑遭操控，被攻擊者抽走約 1,000 萬美元，手法同樣是改寫協議信任的價格輸入，從而超額借貸。 在更宏觀的市場背景下，DeFi 安全性正受更嚴格審視。Cointelegraph 早前報道，第二季按事件數計為歷來被攻擊最嚴重季度，共錄得 83 宗攻擊，合共被盜約 7.55 億美元；當中跨鏈橋攻擊涉及 3.51 億美元，而管理權限被入侵及虛假代幣價格操控合計佔季度損失的 37%。另一組數據顯示，DeFi 的總鎖倉量（TVL）在 6 月下跌 39%，降至逾 700 億美元，較 1 月約 1,150 億美元明顯回落。CryptoRank 統計期內共 121 宗黑客事件、損失約 9.42 億美元，反映安全事故或已削弱用戶信心並促使資金流出部分板塊。 Bonzo 表示，短期修復重點已放在預言機驗證層，Supra 亦稱已部署補救方案。市場接下來將關注：修正後的驗證機制能否在其他整合中阻止類似的簽名或價格更新驗證繞過，以及協議會否進一步進行審計或更換預言機供應商。