Hedera 预言机漏洞遭利用:Bonzo Lend 被盗约900万美元,含3450万枚包装 HBAR

HBAR 新闻

Hedera 生态的借贷协议 Bonzo Lend 在一次预言机操纵攻击中损失约900万美元——攻击者拉抬了作为抵押品的 SAUCE 代币价格,从资金池中借走了远超其实际存入价值的资产。事件在上周末公布的初步报告中披露,受冲击的是一款构建于 Hedera 上的去中心化金融应用;Hedera 是一条以高吞吐、低手续费著称的分布式账本网络,HBAR(HBAR)为其原生 山寨币。Bonzo 将此次损失定性为预言机验证失灵,而非自身智能合约的缺陷,但被抽干的流动性仍在用户信心动摇之际,给整个 HBAR 生态带来了可见的压力。

我们对链上交易序列的梳理显示,初始投入相对于最终收益小得惊人。攻击者先仅存入250枚 SAUCE——价值不过几美元——随后提交了一笔价格更新,将该代币的估值抬高了约12个数量级。抵押品账面价值被瞬间放大后,同一钱包从借贷池中借出663万枚 USDC 和3450万枚包装 HBAR,随即离场。预言机是向智能合约输送链下价格的系统,借贷平台正是依据它来计算抵押品价值,因此单一被污染的价格源,就把一笔微不足道的存款变成了数百万美元的抽取。

Hedera 迅速将此次漏洞与其底层网络切割。在官方声明中,该网络表示调查未发现共识算法或核心服务遭到入侵,主网在整个事件期间持续运行、未受中断。这一区分对持币者意义重大:故障发生在应用层的定价组件,而非账本本身。即便如此,此事仍提醒人们——一条网络可以运转无碍,而搭建其上的协议却在失血;盲签与薄弱的预言机校验,始终是 DeFi 用户面临的持久攻击面。

Bonzo 将根因追溯至 Supra 链上预言机验证器的一处缺陷,该验证器接受了一条携带被清零签名的、被操纵的 SAUCE 价格。通俗地说,验证层把一条无效、被篡改的价格源当作合法数据,直接传给了借贷逻辑。协议方称 Supra 已确认该缺陷并部署修复,同时重申无论是 Bonzo Lend 的合约还是 Hedera 的底层基础设施,都不存在此漏洞。这种绕过签名校验、强行制造荒谬估值的攻击手法,正说明为何预言机的完整性在借贷市场中被视为关键基础设施。

Bonzo 的损失,恰落在去中心化金融备受煎熬的一年。市场数据显示,2026年第二季度按事件数量计,已成为有记录以来遭黑客攻击最频繁的一个季度,共发生83起独立漏洞利用,被盗资金约7.55亿美元。其中仅 跨链桥 攻击就占去约3.51亿美元,而管理员权限被攻破与虚假价格操纵合计占当季损失的37%。预言机与抵押品定价类攻击的扎堆出现,意味着攻击者正越来越多地瞄准 DeFi 的数据管道,而非智能合约本身。

更宏观的行业背景同样紧绷。DeFi 全网锁仓总价值(TVL)从1月的约1150亿美元下滑39%,至6月的700多亿美元,同期录得121起黑客事件、损失约9.42亿美元——密集的事故很可能进一步加剧了资金外流。Bonzo 一案与今年2月 Stellar 上的漏洞如出一辙:当时攻击者通过操纵用于给 USTRY 抵押品估值的价格路径,从 YieldBlox 借贷池中抽走约1000万美元。反复出现的抵押品定价失灵,正持续侵蚀着支撑链上信贷的 自动做市商 与借贷模型的信任基础。

就我们自身的信号看,HBAR 现报约0.0696美元,日内下跌0.94%;COINOTAG 独有的42指标综合支撑/阻力评分引擎,将0.0685美元支撑位评为满分100/100,源于 Keltner 下轨、ATR 下轨与 Donchian 下轨的共振。上方,引擎给0.0757美元阻力位打出90/100(Ichimoku 基准线、波段高点),更近的0.0704美元枢轴区则为70/100。RSI 报38、趋势向下,读数偏空,但 MACD 已翻多;衍生品方面,资金费率小幅为正,报0.0049%,未平仓合约2030万美元,而恐惧与贪婪指数处于26(恐惧)。若日线收于0.0685美元下方,将证伪本轮反弹逻辑,并打开通向0.0572美元的下行空间。