攻击发生后不久，该协议暂停了 Bonzo Lend。其积分计划也被暂停，而 Bonzo 的金库、桥接和质押产品未受影响。Hedera 在 X 上表示，此次事件仅限于第三方预言机验证器，并未涉及网络核心基础设施的缺陷。

报告显示，攻击者于周五晚 8:40 左右存入了 250 个 SAUCE 作为抵押品，价值仅几美元，然后向 Supra 的按需预言机合约提交了一个价格更新，该更新夸大了该代币的价值约 12 个数量级。当时 SAUCE 的交易价格接近 0.2 HBAR；操纵后的更新价格为 1 后面跟着 30 个零。

在操纵后的价格于周五晚 8:51（美国东部时间）上链后的几秒钟内，该钱包以几乎一文不值的抵押品借入了约 663 万 USDC 和 3450 万个封装的 HBAR。Bonzo 以约 0.07 美元的 HBAR 参考价格，估算了提取的本金约为 905 万美元。

虚假价格更新带有完全由零组成的加密签名。Supra 的验证器本应立即拒绝它，但由于合约在检查签名方面存在缺陷，反而将其视为有效。

这使得攻击者能够提交一个未经 Supra 合法签名者批准的价格。简单来说，攻击者并没有破解 Supra 的加密技术或窃取签名密钥；相反，他们找到了一种方法，让验证器接受了一个明显无效的更新。

Bonzo 表示，Supra 已承认该问题，并在 Hedera 主网上部署了对受影响验证器合约的修复。“正是因为有了这个修复，以及由此产生的检查合约行为的能力，我们才能描述其机制，”Bonzo 团队写道。

在错误价格生效期间，第二个钱包借入了约 100 万美元，然后联系了团队，表明自己是白帽响应者，并表示打算归还资金。Bonzo 将这笔金额从其总损失数字中排除，否则总损失将约为 1006 万美元。

链上调查员 Specter 最早发现了从 Hedera 流向 Ethereum 的可疑资金流动，随后 Bonzo 确认了此次漏洞的来源。周五晚 9:36（美国东部时间），合法的预言机更新恢复了 SAUCE 的价格，五分钟后 Bonzo 暂停了其借贷池。

根据 Immunefi 的数据，此次事件延续了加密货币漏洞频发的一年，在 2026 年上半年，项目在创纪录的 207 起事件中损失了约 9.72 亿美元。这也符合更广泛的趋势，即基础设施故障、私钥泄露和受影响应用程序核心合约之外的特权访问弱点日益增多，这种动态在疑似的 Gravity Bridge 密钥泄露和 Kelp DAO 的桥接验证漏洞中也有体现。

免责声明：The Block 是一个独立媒体机构，提供新闻、研究和数据。截至 2023 年 11 月，Foresight Ventures 是 The Block 的多数投资者。Foresight Ventures 投资于加密领域的其他公司。加密货币交易所 Bitget 是 Foresight Ventures 的主要有限合伙人。The Block 继续独立运营，提供关于加密行业的客观、有影响力和及时的信息。以下是我们当前的财务披露。

© 2026 The Block。保留所有权利。本文仅供参考。它不被提供或意图用作法律、税务、投资、财务或其他建议。