Bonzo Lend 在 Hedera 上因 $9M 预言机漏洞损失 77% 的锁定价值

攻击者从 Hedera 上的 Bonzo Lend 中抽走 900 万美元

攻击者在 2026 年 7 月 11 日 00:51 UTC 左右通过预言机漏洞从 Hedera 网络上的去中心化借贷协议 Bonzo Lend 中盗取了约 905 万美元。去中心化金融 (DeFi) 允许用户在没有银行或经纪人的情况下借贷加密货币。这一盗窃事件袭击了 Hedera 最大的借贷协议，并扰乱了整个网络的活动。

操纵的预言机让攻击者以微不足道的存款借款

攻击者利用了第三方 Supra 预言机合约中的验证漏洞，该协议依赖于该合约来获取代币价格。在存入价值仅几美元的 250 个 SAUCE 代币后，攻击者提交了一个操纵的价格更新，将该代币的价值大幅抬高，远超市场价格。这个虚假的价格让该钱包以几乎没有真实抵押的情况下借入了 663 万美元的 USD Coin (USDC) 和 3452 万个包裹 HBAR (WHBAR)。在事件中，另一个钱包又借入了 100 万美元。

Bonzo 的锁定价值在漏洞后下降了 77%

事件发生后，Bonzo 的总锁定价值 (TVL) — 存入协议中的加密货币数量 — 下降了 77%。根据 DeFi 跟踪器 DefiLlama 的数据，Hedera 的网络总锁定价值在 24 小时内下降了近 40%，降至 2570 万美元。区块链安全公司 PeckShield 报告称，攻击后约有 525 万美元从 Hedera 转移到以太坊。

Bonzo 暂停借贷，Supra 修复了漏洞

在漏洞发生后，Bonzo 暂停了 Bonzo Lend 和 Bonzo Points 的服务，但其金库、桥接和 BONZO 质押仍在运行。团队表示，问题出在 Supra 的预言机验证上，而不是其自身的智能合约，这些合约按照设计使用了错误的链上价格。Supra 承认了这一漏洞，并为受影响的验证者部署了修复。一些参与的钱包自称为白帽响应者，并表示打算归还资金。