預言機漏洞一竿子捅穿：Bonzo Lend 遭 900 萬美元攻擊，Hedera 生態敲響警鐘

DeFi 世界從來不缺驚險故事，但這一次的「作案工具」可能是史上最便宜之一——250 枚 SAUCE 代幣，市值不過幾美元。就在 7 月 11 日，Hedera 鏈上最大的借貸協議 Bonzo Lend 被攻擊者借走了約 905 萬美元的資產，整件事從發生到完成，只花了不到一分鐘。

事情的經過堪稱教科書級的預言機漏洞利用。攻擊者先存入 250 枚 SAUCE 當作抵押品，然後向 Supra 的鏈上預言機提交了一筆價格更新。按理說，這筆更新應該攜帶預言機網路的合法簽名才能透過驗證，但問題就在這裡——攻擊者提交的簽名是一個全零的無效簽名，而 Supra 的驗證合約卻把它當作合法請求放了過去。

離譜的地方在於，攻擊者並沒有破解 Supra 的後端系統，也沒有盜取任何簽名私鑰。他做的只是在合約層面找到了一個驗證缺陷，讓一個本應被拒絕的價格更新混上了鏈。那條虛假資料把 SAUCE 的價格抬高了 12 個數量級——你沒看錯，是 10 的 12 次方。原本只值 0.2 HBAR 的 SAUCE，在攻擊者提交的資料裡變成了 1 後面跟著 30 個零的天文數字。隨後在同一個區塊內，這個地址就以這些「身價暴增」的抵押品為擔保，借走了 663 萬 USDC 和 3450 萬枚包裝版 HBAR。

但事情到這裡還沒結束。就在攻擊者的操作生效的同一視窗期內，另一個地址（社群代號 Wallet B）也用同樣的漏洞提走了約 100 萬美元的資產。不過這名操作者隨後主動聯絡了 Bonzo 團隊，聲稱自己是白帽駭客，願意如數歸還。Bonzo 團隊也因此將這 100 萬計為「可回收項」，對外公佈的淨損失數字精準鎖定在 905 萬美元。Supra 官方已部署了修復補丁，Bonzo Lend 的借貸池被暫停至今，金庫、跨鏈橋和單邊質押模組均未受影響。鏈上調查員 Specter 最先在 Hedera 到以太坊的跨鏈轉賬中發現了異常，隨後 Bonzo 釋出了詳細的事故報告。

把視線拉遠一點，這次攻擊不過是 2026 年 DeFi 安全大考的一個註腳。根據 Immunefi 的資料，上半年共記錄了 207 起安全事件，總損失約 9.72 億美元，其中二季度以 83 起駭客事件成為有史以來「最被盯上的一個季度」。跨鏈橋漏洞造成 3.51 億美元損失，而虛假代幣價格操縱類攻擊佔了季度損失總額的 37%。更值得注意的趨勢是，這些攻擊的手法越來越「上游」——不再是協議本身的 Solidity 程式碼有 bug，而是預言機、跨鏈橋驗證器、私鑰管理這些基礎設施層出了紕漏。Bonzo 這件事裡，他們自己的借貸合約在攻擊中執行得完全正確，問題出在給它「喂溫度」的那個體溫計壞了。

回過頭來看，這次事件給行業的提醒其實很直白：去中心化金融的安全性，從來不只是你自己寫的合約程式碼有多嚴謹，更取決於你信任的那一整條資料供應鏈有多脆弱。 Bonzo 的借貸合約本身沒有問題，但它依賴的預言機出事了，它就被動了。Supra 事後在安全公告中建議，借貸協議應該對任何外部價格輸入做自己的「合理性邊界校驗」——即使預言機瘋掉了，合約也得知道 250 顆代幣押進來不可能借走幾百萬。這種電路斷路器式的設計，對於低流動性代幣尤其關鍵。在這個領域裡沒有所謂的「完全信任」，每一層依賴都是潛在的引爆點。 對普通使用者來說，在 DeFi 裡提供流動性賺利息之前，先數一數協議依賴了多少個第三方元件，可能比看年化收益率更實際得多。