Bonzo Lend 在 Oracle 漏洞中的$9M 损失是伪造 SAUCE 价格，导致协议被抽干

Bonzo Lend 是 Hedera 网络上的一个借贷协议，7 月 11 日因攻击者利用了 Supra 第三方预言机验证器中的漏洞而遭受了约 905 万美元的损失。攻击者通过向验证器提交一个被清零的签名，伪造了 SAUCE 代币的价格更新；该签名被错误地验证，从而将 SAUCE 的价格夸大了约十二个数量级。该漏洞使攻击者能够用仅为所借资金一小部分的抵押借款，掏空了协议的借贷资金池。Hedera 确认此次事件仅限于外部预言机验证器，并未危及网络的共识或核心服务。Supra 承认了该验证漏洞，并已在 Hedera 主网部署修复到受影响的合约。

7 月 11 日攻击者利用 Supra 预言机验证器

据 Bonzo 的事件报告，攻击于 7 月 11 日约 00:51 UTC 开始。团队标记为 Wallet A 的一个钱包提交了一笔带有被清零签名的价格更新，Supra 的验证器接受该签名为有效。该更新将 SAUCE 的价格设为“1”后接三十个零，尽管实际市场价格约为 0.2 HBAR，从而使代币价值夸大了约十二个数量级。随着以该水平定价的 SAUCE 抵押，那个钱包抽空了协议的借贷资金池。

被清零签名绕过了验证流程

Bonzo 的报告追溯了故障如何发生在 Supra 的验证器对签名的检查上。“验证器被要求判断某个特定等式是否成立，它正确回答是。随后 Supra 的验证器把这个‘是’当作有效委员会签名的证明，而它从来都不是，”报告称。团队强调，其自身合约在定价抵押品和计算借款能力方面完全符合代码逻辑：“Bonzo Lend 的合约在任何时点都没有发生故障。”Hedera 支持这一说法，称失败发生在上游的预言机层，并且网络的共识与核心服务未被破坏。

含“白帽”身份的钱包承诺归还 100 万美元

第二个钱包使用同一漏洞提取了约 100 万美元。Bonzo 表示，该钱包随后已联系团队，表明自己是白帽响应方，并承诺归还资金；团队未将这部分金额计入标题中的损失数字。

Bonzo 暂停产品，TVL 下跌 78%

Bonzo 在此次 exploit 之后暂停了其 Lend 与 Points 产品，而其 Vaults、Bridge 和质押产品继续运行。根据 DefiLlama 数据，协议中的总锁定价值从 7 月 10 日约 1430 万美元降至 7 月 12 日约 320 万美元，下跌约 78%。团队表示正与白帽响应方协调归还资金，并制定解除暂停及为流动性提供者重新开放提款的条件。Supra 已在 Hedera 主网上部署了对受影响合约的修复，并正与安全研究人员合作分析此次攻击。

FAQ

是什么导致了 7 月 11 日 Bonzo Lend 的漏洞利用？
当攻击者提交针对 SAUCE 代币的价格更新时，该更新包含一个被清零的签名；Supra 的第三方预言机验证器却错误地将其接收为有效。这使攻击者得以将 SAUCE 的价格夸大约十二个数量级，并以相当于所借资金一小部分的抵押借出约 905 万美元。

Hedera 和 Supra 如何应对这次预言机漏洞利用？
Hedera 确认此次事件仅限于外部预言机验证器，并表示网络的共识与核心服务未被破坏。Supra 承认了该验证漏洞，并已在 Hedera 主网对受影响合约部署修复，同时正与安全研究人员合作分析此次攻击。

漏洞利用之后 Bonzo Lend 的总锁定价值发生了什么？
根据 DefiLlama 数据，Bonzo Lend 的总锁定价值从 7 月 10 日约 1430 万美元降至 7 月 12 日约 320 万美元，下降约 78%。在此期间，协议暂停了其 Lend 和 Points 产品，而 Vaults、Bridge 和质押产品继续运行。