Bonzo Lend 因预言机漏洞致SAUCE价格虚高，损失900万美元

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

基于Hedera的借贷协议Bonzo Lend在攻击者操纵作为抵押品的SAUCE价格后损失约905万美元。Bonzo Finance Labs表示，事件始于2026年7月11日，当时一个钱包向第三方Supra预言机合约提交了虚假的SAUCE价格。攻击者存入250枚SAUCE（仅价值几美元），而预言机信息却将这些代币视为高价值资产。

摘要

攻击者抬高了SAUCE的预言机价格，并从Bonzo借出了价值约905万美元的资产。

Supra的验证器接受了一个零签名，导致虚假价格更新被传递到Hedera主网。

Bonzo暂停了借贷功能，团队正在追回资产、修复漏洞，并承诺归还白帽资金。

虚假价格到达网络八秒后，该钱包借出了663万枚USDC和超过3450万枚封装HBAR。Bonzo将此次损失描述为“约905万美元”。协议于UTC时间01:41暂停了Bonzo Lend，并于当天上午晚些时候停止了Bonzo Points。Bonzo Vaults、Bonzo Bridge和单边BONZO质押继续运行。

零签名通过Supra验证器

Bonzo的事件报告将此次事件追溯到Supra的签名验证过程。更新携带的是零签名，而非Supra预言机委员会的有效签名。Bonzo表示，验证器在将数据发送到Hedera配对系统合约之前，未能拒绝零值输入。

配对检查返回真值，因为两个值都代表数学上的恒等点。Supra的合约随后将该结果视为有效委员会签名的证明。Bonzo称“没有伪造任何有效的预言机签名”，且SAUCE的实际市场价格并未上涨。据报告，Supra此后已在Hedera主网上对受影响的验证器合约进行了修复。

Bonzo称其借贷合约遵循代码

Bonzo表示，其借贷合约从批准的预言机数据源读取了被操纵的值，并据此计算借贷能力。团队指出，借贷池在收到虚假输入后按设计运行。其报告排除了Bonzo合约漏洞、闪电贷攻击和常规市场操纵的可能性。

在异常价格活跃期间，第二个账户借出了约100万美元。该钱包后来联系了团队，自称是白帽响应者，并表示计划归还这些资产。Bonzo将该金额从905万美元的损失数字中排除，因为追回谈判仍在进行中。已发布的报告尚未确认资产归还。

资金转移追踪

在Bonzo公布调查结果之前，安全研究人员追踪到超过580万美元从Hedera转移到以太坊。研究人员表示，该钱包通过LayerZero桥接资产，并将部分持仓从封装比特币转换为以太币。随着转账持续，HBAR下跌超过2%。

预言机数据对与后续恢复

Bonzo的预言机文档列出了针对SAUCE、HBARX、XSAUCE、DOVU、PACK、KARATE、STEAM和HST相对于封装HBAR的Supra数据源。此次事件影响了SAUCE交易对。Bonzo表示，合法发布在UTC时间01:36将该价格恢复至约0.1964 HBAR，比借贷池暂停早五分钟。

Bonzo的后续报告将主要攻击者确认的损失提高至约905万美元。Bonzo Lend仍然暂停，Bonzo Finance Labs和Bonzo Finance Foundation正与合作伙伴一起进行资产追回、修复工作以及为流动性提供者制定提款计划。团队尚未确定重新开放借贷池的日期。