一個基於 Hedera 的借貸協議 Bonzo Finance 遭受了預言機攻擊，損失約 900 萬美元。攻擊者利用了 SAUCE 代幣價格異常膨脹的抵押品，從協議中借走了遠超其實際價值的資產。

Bonzo 的初步事件報告顯示，攻擊者僅存入了 250 個 SAUCE 代幣（價值僅幾美元），隨後提交了一個價格更新，將該代幣的價格人爲地提高了約 12 個數量級。之後，該地址從借貸池中借走了 663 萬美元 USDC 和 3450 萬個封裝的 HBAR (wHBAR)。

據瞭解，此次事件源於預言機服務提供商 Supra 的鏈上預言機驗證器存在漏洞，該驗證器錯誤地接受了帶有零簽名的 SAUCE 價格數據。

[PANews]

7 月 12 日（UTC+8），基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。Supra已確認該問題並完成修復。Bonzo強調，此次攻擊並非Bonzo智慧合約或Hedera底層網路本身存在漏洞。

資料顯示，2026年第二季度已成為加密行業歷史上遭攻擊次數最多的季度，共發生83起安全事件，累計損失約7.55億美元。其中，跨鏈橋攻擊造成約3.51億美元損失，而管理員許可權洩露和虛假代幣價格操縱則佔季度損失的37%。

受持續安全事件影響，DeFi行業總鎖倉價值（TVL）已從今年1月約1150億美元下降至6月的700多億美元，累計跌幅達39%。CryptoRank資料顯示，今年以來行業已發生121起安全事件，累計損失約9.42億美元，持續的安全問題或進一步削弱使用者信心並加速資金流出。

值得一提的是，今年2月，Stellar生態借貸協議YieldBlox也曾發生類似事件。攻擊者通過操縱USTRY抵押品價格路徑，從其借貸池中竊取約1000萬美元資產。（來源：PANews）

[ME News]

HBAR

SUPRA

USDC

Bonzo遭預言機攻擊損失約900萬美元，攻擊者操縱SAUCE價格借出鉅額資產

去中心化借貸協議 Bonzo Lend（運行於 Hedera 網絡 HBAR 上）於美國東部時間週五晚間遭駭客攻擊，損失約 905 萬美元。根據 Bonzo 發布的初步事故報告，駭客利用了第三方 Supra 奧拉（oracle）驗證器的一處漏洞，提交了虛假的 SAUCE 代幣價格。

該協議在攻擊發生後不久即暫停了 Bonzo Lend 服務；其積分計畫亦同步中止；但 Bonzo 的金庫、跨鏈橋接與質押產品未受影響。Hedera 於 X 平台發文指出，此次事件僅限於第三方奧拉驗證器，並未涉及 Hedera 網絡核心基礎設施的缺陷。

據報告顯示，駭客於美國東部時間週五晚間約 8 時 40 分，以僅值數美元的 250 枚 SAUCE 代幣作為抵押品，隨後向 Supra 的按需奧拉（on-demand oracle）合約提交一筆價格更新，將該代幣價值人為高估約 12 個數量級。當時 SAUCE 交易價格約為 0.2 HBAR；而被篡改的價格更新則標示為「1 後面跟 30 個零」。

這筆被篡改的價格於美國東部時間週五晚間 8 時 51 分上鏈後數秒內，該錢包即憑藉這筆近乎毫無價值的抵押，借出約 663 萬 USDC 及 3450 萬枚 wrapped HBAR。Bonzo 依據約每枚 HBAR 0.07 美元的參考價，估算所提取本金總值約為 905 萬美元。

該偽造價格更新所附帶的密碼學簽章，完全由零組成。Supra 的驗證器本應立即拒絕此類簽章，卻因合約驗證簽章邏輯存在缺陷，反將其視為有效。

這使得駭客得以在未經 Supra 合法簽署者批准的情況下提交價格。簡言之，駭客並未破解 Supra 的密碼學機制，也未竊取簽署私鑰；而是找到了一種方法，讓驗證器接受一份明顯無效的價格更新。

Bonzo 表示，Supra 已承認此問題，並已在 Hedera 主網上針對受影響的驗證器合約部署修復方案。「正因有了這項修復，以及隨之而來對合約行為進行檢視的能力，我們才能完整闡述此次攻擊的機制。」Bonzo 團隊寫道。

另有一個錢包在錯誤價格生效期間借出了約 100 萬美元，隨後主動聯繫 Bonzo 團隊，表明自身為白帽響應者（white-hat responder），並聲明有意歸還資金。Bonzo 已將該筆金額排除於 headline 數字之外；否則總損失金額將達約 1006 萬美元。

鏈上調查員 Specter 在 Bonzo 確認攻擊源頭前，率先標註出從 Hedera 流向 Ethereum 的異常資金流動。合法的奧拉價格更新於美國東部時間週五晚間 9 時 36 分恢復 SAUCE 的真實價格；Bonzo 於五分鐘後（即晚間 9 時 41 分）暫停其借貸池。

本次事件延續了加密貨幣領域今年頻繁遭受攻擊的嚴峻態勢。根據 Immunefi 數據，2026 年上半年已發生創紀錄的 207 起攻擊事件，項目累計損失約 9.72 億美元。此外，本次事件亦符合當前更廣泛的趨勢：安全漏洞正逐步從應用程式核心合約，轉向基礎設施層面失效、私鑰遭竊，以及特權存取權限弱點等——類似近期疑似 Gravity Bridge 私鑰遭竊，以及 Kelp DAO 橋接驗證機制遭利用等案例。

免責聲明：The Block 是一家獨立媒體機構，致力提供新聞、研究與數據。截至 2023 年 11 月，Foresight Ventures 是 The Block 的控股投資方。Foresight Ventures 同時也在加密貨幣領域投資其他公司。加密交易所 Bitget 是 Foresight Ventures 的錨定有限合夥人（anchor LP）。The Block 仍持續獨立運作，以提供客觀、具影響力且及時的加密產業資訊。詳見我們目前的財務披露聲明。

© 2026 The Block。版權所有。本文僅供資訊參考之用，不構成法律、稅務、投資、財務或其他建議。

Hedera 借貸協議 Bonzo Lend 因 Supra 驗證器接受被操控的價格更新，遭損失 900 萬美元

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]

基於 Hedera 的借貸協議 Bonzo Finance 遭遇預言機攻擊，損失約 900 萬美元。攻擊者利用 SAUCE 代幣價格被異常抬高後的抵押品，從協議中借出遠超實際價值的資產。Bonzo Finance 釋出的初步事故報告顯示，攻擊者僅存入 250 枚 SAUCE，隨後提交一次價格更新，將該代幣價格人為抬高約 12 個數量級，接著該地址從借貸池中借出 663 萬枚 USDC 和 3450 萬枚封裝 HBAR。

此次攻擊並非 Bonzo Finance 智慧合約或 Hedera 底層網路本身存在漏洞，而是源於預言機服務商 Supra 鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的 SAUCE 價格資料，目前 Supra 已確認該問題並完成修復。

[Odaily星球日報]

損失約900萬美元，Hedera生態借貸協議Bonzo Finance遭遇預言機攻擊


Bonzo Lend 是 Hedera 生態系中規模最大的借貸協議，近日宣布因第三方價格預言機（price oracle）存在漏洞遭駭客利用，導致約 905 萬美元的損失。攻擊發生後，Bonzo Lend 及 Bonzo Points 服務已暫時停用。

根據 Bonzo Finance Labs 與 Bonzo Finance Foundation 協同發布的事故報告，此次攻擊發生於 2026 年 7 月 11 日，約在協調世界時（UTC）00:51（UTC+3 時區為 03:51）。駭客透過向 Bonzo Lend 所採用的 Supra 預言機系統傳送偽造的 SAUCE 價格，以極低額抵押品借出遠高於 SAUCE 實際價值的資產。

Bonzo 表示，此項安全漏洞並非源自其自有智慧合約或借貸協議的設計本身；問題根源在於 Bonzo Lend 所使用的第三方鏈上價格預言機之簽章驗證機制。

據該報告指出，駭客首個帳戶首先於 Hedera 主網上，向預言機的「按需價格更新合約」（on-demand price update contract）傳送了一筆以 HBAR 為單位的偽造 SAUCE 價格。SAUCE 的實際市場價格約為 0.2 HBAR，但駭客所傳送的數值卻顯示為比實際價格高出約 12 位小數。

在該偽造價格被記錄至鏈上僅八秒後，駭客即以少量 SAUCE 投資作為抵押。由於預言機提供的錯誤數據，協議誤判該抵押品價值異常高昂，致使駭客得以借出遠超其存入抵押品實際價值的資產。

根據 Bonzo 的調查，此偽造價格更新之所以被接受，是因為 Supra 的鏈上驗證節點（on-chain validator）在未驗證有效簽章的情況下便確認了該證明（proof）。團隊補充說明：駭客並未偽造有效的預言機簽章，且 SAUCE 的實際市場價格全程並未發生任何變動。

該協議指出，此錯誤價格本應於抵達 Bonzo Lend 前，即在預言機自身的驗證層（validation layer）遭到拒絕，但該驗證系統卻未能正確執行此步驟。

報告亦揭露，當異常價格資料仍處於生效狀態期間，另一帳戶亦從協議中額外借出部分資產。Bonzo 表示，該帳戶事後主動聯繫團隊，自稱為白帽資安研究員（white-hat security researcher），並表達歸還資金之意願。此筆交易目前已納入協議整體資產追回（recovery）流程中一併審酌。

據報導，本次攻擊僅影響 Bonzo Lend 與 Bonzo Points 兩項服務；Bonzo Vaults、Bonzo Bridge，以及 BONZO 和 XBONZO 的單向質押（staking）與解質押（unstaking）服務均維持正常運作。另附有一張圖表，顯示 BONZO 價格下跌情形。

目前 Bonzo Lend 的借貸池已暫停運作，相關審查與資產恢復工作仍在持續進行中。Bonzo Finance Labs 與 Bonzo Finance Foundation 已宣布，正評估協議重新啟用的條件，以及流動性提供者（liquidity providers）提領其資產的具體流程。團隊表示，關於用戶賠償方案、資金追回進度及協議重啟時程等細節，將於日後另行發布公告說明。

*此內容不構成投資建議。

駭客正在操縱某種替代幣的價格

Bonzo 因一次預言機攻擊損失了約 900.00 萬美元，攻擊者操縱了 SAUCE 價格以借入大量資產。

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]