预言机漏洞一竿子捅穿：Bonzo Lend 遭 900 万美元攻击，Hedera 生态敲响警钟

DeFi 世界从来不缺惊险故事，但这一次的「作案工具」可能是史上最便宜之一——250 枚 SAUCE 代币，市值不过几美元。就在 7 月 11 日，Hedera 链上最大的借贷协议 Bonzo Lend 被攻击者借走了约 905 万美元的资产，整件事从发生到完成，只花了不到一分钟。

事情的经过堪称教科书级的预言机漏洞利用。攻击者先存入 250 枚 SAUCE 当作抵押品，然后向 Supra 的链上预言机提交了一笔价格更新。按理说，这笔更新应该携带预言机网络的合法签名才能通过验证，但问题就在这里——攻击者提交的签名是一个全零的无效签名，而 Supra 的验证合约却把它当作合法请求放了过去。

离谱的地方在于，攻击者并没有破解 Supra 的后端系统，也没有盗取任何签名私钥。他做的只是在合约层面找到了一个验证缺陷，让一个本应被拒绝的价格更新混上了链。那条虚假数据把 SAUCE 的价格抬高了 12 个数量级——你没看错，是 10 的 12 次方。原本只值 0.2 HBAR 的 SAUCE，在攻击者提交的数据里变成了 1 后面跟着 30 个零的天文数字。随后在同一个区块内，这个地址就以这些「身价暴增」的抵押品为担保，借走了 663 万 USDC 和 3450 万枚包装版 HBAR。

但事情到这里还没结束。就在攻击者的操作生效的同一窗口期内，另一个地址（社区代号 Wallet B）也用同样的漏洞提走了约 100 万美元的资产。不过这名操作者随后主动联系了 Bonzo 团队，声称自己是白帽黑客，愿意如数归还。Bonzo 团队也因此将这 100 万计为「可回收项」，对外公布的净损失数字精准锁定在 905 万美元。Supra 官方已部署了修复补丁，Bonzo Lend 的借贷池被暂停至今，金库、跨链桥和单边质押模块均未受影响。链上调查员 Specter 最先在 Hedera 到以太坊的跨链转账中发现了异常，随后 Bonzo 发布了详细的事故报告。

把视线拉远一点，这次攻击不过是 2026 年 DeFi 安全大考的一个注脚。根据 Immunefi 的数据，上半年共记录了 207 起安全事件，总损失约 9.72 亿美元，其中二季度以 83 起黑客事件成为有史以来「最被盯上的一个季度」。跨链桥漏洞造成 3.51 亿美元损失，而虚假代币价格操纵类攻击占了季度损失总额的 37%。更值得注意的趋势是，这些攻击的手法越来越「上游」——不再是协议本身的 Solidity 代码有 bug，而是预言机、跨链桥验证器、私钥管理这些基础设施层出了纰漏。Bonzo 这件事里，他们自己的借贷合约在攻击中运行得完全正确，问题出在给它「喂温度」的那个体温计坏了。

回过头来看，这次事件给行业的提醒其实很直白：去中心化金融的安全性，从来不只是你自己写的合约代码有多严谨，更取决于你信任的那一整条数据供应链有多脆弱。 Bonzo 的借贷合约本身没有问题，但它依赖的预言机出事了，它就被动了。Supra 事后在安全公告中建议，借贷协议应该对任何外部价格输入做自己的「合理性边界校验」——即使预言机疯掉了，合约也得知道 250 颗代币押进来不可能借走几百万。这种电路断路器式的设计，对于低流动性代币尤其关键。在这个领域里没有所谓的「完全信任」，每一层依赖都是潜在的引爆点。 对普通用户来说，在 DeFi 里提供流动性赚利息之前，先数一数协议依赖了多少个第三方组件，可能比看年化收益率更实际得多。