一个基于 Hedera 的借贷协议 Bonzo Finance 遭受了预言机攻击，损失约 900 万美元。攻击者利用了 SAUCE 代币价格异常膨胀的抵押品，从协议中借走了远超其实际价值的资产。

Bonzo 的初步事件报告显示，攻击者仅存入了 250 个 SAUCE 代币（价值仅几美元），随后提交了一个价格更新，将该代币的价格人为地提高了约 12 个数量级。之后，该地址从借贷池中借走了 663 万美元 USDC 和 3450 万个封装的 HBAR (wHBAR)。

据了解，此次事件源于预言机服务提供商 Supra 的链上预言机验证器存在漏洞，该验证器错误地接受了带有零签名的 SAUCE 价格数据。

[PANews]

7 月 12 日（UTC+8），基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。Supra已确认该问题并完成修复。Bonzo强调，此次攻击并非Bonzo智能合约或Hedera底层网络本身存在漏洞。

数据显示，2026年第二季度已成为加密行业历史上遭攻击次数最多的季度，共发生83起安全事件，累计损失约7.55亿美元。其中，跨链桥攻击造成约3.51亿美元损失，而管理员权限泄露和虚假代币价格操纵则占季度损失的37%。

受持续安全事件影响，DeFi行业总锁仓价值（TVL）已从今年1月约1150亿美元下降至6月的700多亿美元，累计跌幅达39%。CryptoRank数据显示，今年以来行业已发生121起安全事件，累计损失约9.42亿美元，持续的安全问题或进一步削弱用户信心并加速资金流出。

值得一提的是，今年2月，Stellar生态借贷协议YieldBlox也曾发生类似事件。攻击者通过操纵USTRY抵押品价格路径，从其借贷池中窃取约1000万美元资产。（来源：PANews）

[ME News]

HBAR

SUPRA

USDC

Bonzo遭预言机攻击损失约900万美元，攻击者操纵SAUCE价格借出巨额资产

Bonzo Lend，一个基于 Hedera (HBAR) 的去中心化借贷协议，于周五晚间（美国东部时间）遭受了约 905 万美元的损失。根据 Bonzo 发布的一份初步事件报告，一名攻击者利用了第三方 Supra 预言机验证器中的一个漏洞，并提交了 SAUCE 代币的虚假价格。

攻击发生后不久，该协议暂停了 Bonzo Lend。其积分计划也被暂停，而 Bonzo 的金库、桥接和质押产品未受影响。Hedera 在 X 上表示，此次事件仅限于第三方预言机验证器，并未涉及网络核心基础设施的缺陷。

报告显示，攻击者于周五晚 8:40 左右存入了 250 个 SAUCE 作为抵押品，价值仅几美元，然后向 Supra 的按需预言机合约提交了一个价格更新，该更新夸大了该代币的价值约 12 个数量级。当时 SAUCE 的交易价格接近 0.2 HBAR；操纵后的更新价格为 1 后面跟着 30 个零。

在操纵后的价格于周五晚 8:51（美国东部时间）上链后的几秒钟内，该钱包以几乎一文不值的抵押品借入了约 663 万 USDC 和 3450 万个封装的 HBAR。Bonzo 以约 0.07 美元的 HBAR 参考价格，估算了提取的本金约为 905 万美元。

虚假价格更新带有完全由零组成的加密签名。Supra 的验证器本应立即拒绝它，但由于合约在检查签名方面存在缺陷，反而将其视为有效。

这使得攻击者能够提交一个未经 Supra 合法签名者批准的价格。简单来说，攻击者并没有破解 Supra 的加密技术或窃取签名密钥；相反，他们找到了一种方法，让验证器接受了一个明显无效的更新。

Bonzo 表示，Supra 已承认该问题，并在 Hedera 主网上部署了对受影响验证器合约的修复。“正是因为有了这个修复，以及由此产生的检查合约行为的能力，我们才能描述其机制，”Bonzo 团队写道。

在错误价格生效期间，第二个钱包借入了约 100 万美元，然后联系了团队，表明自己是白帽响应者，并表示打算归还资金。Bonzo 将这笔金额从其总损失数字中排除，否则总损失将约为 1006 万美元。

链上调查员 Specter 最早发现了从 Hedera 流向 Ethereum 的可疑资金流动，随后 Bonzo 确认了此次漏洞的来源。周五晚 9:36（美国东部时间），合法的预言机更新恢复了 SAUCE 的价格，五分钟后 Bonzo 暂停了其借贷池。

根据 Immunefi 的数据，此次事件延续了加密货币漏洞频发的一年，在 2026 年上半年，项目在创纪录的 207 起事件中损失了约 9.72 亿美元。这也符合更广泛的趋势，即基础设施故障、私钥泄露和受影响应用程序核心合约之外的特权访问弱点日益增多，这种动态在疑似的 Gravity Bridge 密钥泄露和 Kelp DAO 的桥接验证漏洞中也有体现。

免责声明：The Block 是一个独立媒体机构，提供新闻、研究和数据。截至 2023 年 11 月，Foresight Ventures 是 The Block 的多数投资者。Foresight Ventures 投资于加密领域的其他公司。加密货币交易所 Bitget 是 Foresight Ventures 的主要有限合伙人。The Block 继续独立运营，提供关于加密行业的客观、有影响力和及时的信息。以下是我们当前的财务披露。

© 2026 The Block。保留所有权利。本文仅供参考。它不被提供或意图用作法律、税务、投资、财务或其他建议。

Hedera 借贷协议 Bonzo Lend 在 Supra 验证器接受被操纵的价格更新后，损失达 900 万美元。

基于Hedera的借贷协议Bonzo Finance遭遇预言机攻击，损失约900万美元。攻击者利用SAUCE代币价格被异常抬高后的抵押品，从协议中借出了远超实际价值的资产。

Bonzo发布的初步事故报告显示，攻击者仅存入250枚SAUCE（价值仅数美元），随后提交了一次价格更新，将该代币价格人为抬高约12个数量级。随后，该地址从借贷池中借出了663万美元USDC和3450万枚封装HBAR（wHBAR）。

据悉，此次事件源于预言机服务商Supra链上预言机验证器存在漏洞，其错误接受了一个签名被置零的SAUCE价格数据。

[PANews]

基于 Hedera 的借贷协议 Bonzo Finance 遭遇预言机攻击，损失约 900 万美元。攻击者利用 SAUCE 代币价格被异常抬高后的抵押品，从协议中借出远超实际价值的资产。Bonzo Finance 发布的初步事故报告显示，攻击者仅存入 250 枚 SAUCE，随后提交一次价格更新，将该代币价格人为抬高约 12 个数量级，接着该地址从借贷池中借出 663 万枚 USDC 和 3450 万枚封装 HBAR。

此次攻击并非 Bonzo Finance 智能合约或 Hedera 底层网络本身存在漏洞，而是源于预言机服务商 Supra 链上预言机验证器存在漏洞，其错误接受了一个签名被置零的 SAUCE 价格数据，目前 Supra 已确认该问题并完成修复。

[Odaily星球日报]

损失约900万美元，Hedera生态借贷协议Bonzo Finance遭遇预言机攻击


Bonzo Lend 是 Hedera 生态系统中规模最大的借贷协议，近日宣布因第三方价格预言机（price oracle）存在漏洞遭利用，导致约 905 万美元的损失。攻击发生后，Bonzo Lend 及 Bonzo Points 服务已被临时暂停。

据 Bonzo Finance Labs 在与 Bonzo Finance Foundation 协调下发布的事件报告，此次攻击发生于 2026 年 7 月 11 日 UTC 时间约 00:51（即 UTC+3 时间 03:51）。攻击者通过向 Bonzo Lend 所采用的 Supra 预言机系统发送被篡改的 SAUCE 价格，仅以极低金额的抵押品，便借出了远超 SAUCE 实际价值的资产。

Bonzo 表示，该安全漏洞并非源于其自身智能合约或借贷协议的设计缺陷，问题根源在于 Bonzo Lend 所采用的第三方链上价格预言机的签名验证机制。

据报告披露，攻击者所使用的首个账户，曾向 Hedera 主网上的预言机按需价格更新合约发送了一条以 HBAR 计价的篡改后 SAUCE 价格。而 SAUCE 的实际市场价格约为 0.2 HBAR，攻击者所提交的价格却显示为比实际价格高出约 12 位小数。

在该篡改价格被写入链上仅 8 秒后，攻击者即使用少量 SAUCE 投资作为抵押品。由于预言机提供的数据失真，协议将该抵押品估值计算得异常之高，致使攻击者借出的资产远超其实际存入抵押品的价值。

Bonzo 的调查指出，该篡改后的价格更新之所以被接受，是因为 Supra 的链上验证节点在未验证有效签名的情况下即确认了该证明。团队补充说明：攻击者并未伪造有效的预言机签名，且 SAUCE 的实际市场价格未发生任何变动。

协议指出，该错误价格本应在抵达 Bonzo Lend 之前，即被预言机自身的验证层拒绝，但验证系统未能履行该职责。

报告还披露，第二个账户亦在异常价格数据生效期间，从协议中额外借出了资产。Bonzo 表示，该账户后续主动联系了项目团队，自称为白帽安全研究员，并表达了归还资金的意愿。该笔交易正被协议纳入整体资金追回流程中予以评估。

报道称，本次攻击仅影响 Bonzo Lend 和 Bonzo Points 服务；Bonzo Vaults、Bonzo Bridge，以及 BONZO 和 XBONZO 的单向质押与解押服务均正常运行。另附一张显示 BONZO 价格下跌的图表。

目前 Bonzo Lend 的借贷池已暂停运作，相关审查与资金恢复工作仍在进行中。Bonzo Finance Labs 与 Bonzo Finance Foundation 已宣布，正在评估协议重启所需满足的条件，以及流动性提供者提取其资产的具体流程。团队表示，关于用户补偿方案、资金追回进展及协议重新激活时间表等细节，将在后续单独公告中公布。

*此内容不构成投资建议。

黑客正在操纵一种山寨币的价格

Bonzo 因一次预言机攻击损失了约 900.00 万美元，攻击者操纵了 SAUCE 价格以借入大量资产。

基於Hedera的借貸協議Bonzo Finance遭遇預言機攻擊，損失約900萬美元。攻擊者利用SAUCE代幣價格被異常抬高後的抵押品，從協議中借出了遠超實際價值的資產。

Bonzo釋出的初步事故報告顯示，攻擊者僅存入250枚SAUCE（價值僅數美元），隨後提交了一次價格更新，將該代幣價格人為抬高約12個數量級。隨後，該地址從借貸池中借出了663萬美元USDC和3450萬枚封裝HBAR（wHBAR）。

據悉，此次事件源於預言機服務商Supra鏈上預言機驗證器存在漏洞，其錯誤接受了一個簽名被置零的SAUCE價格資料。

[PANews]