Bonzo Lend因预言机数据伪造导致巨额资金外流
在2026年7月11日，基于Hedera网络的借贷协议Bonzo Lend遭遇严重安全事件，造成约905万美元资产损失。攻击者通过向第三方Supra预言机合约提交虚假价格信息，成功将仅值数美元的SAUCE代币抬升至高估值状态，从而触发系统性借贷行为。
虚假价格驱动大规模借贷操作
攻击者以250枚低市值SAUCE作为抵押品，借助被篡改的预言机数据，从Bonzo Lend中提取了总计约663万枚USDC及超过3450万枚封装HBAR。该操作在预言机更新后八秒内完成，随后协议于UTC时间01:41紧急暂停借贷功能，并在当日稍晚停止了Bonzo Points服务。其他模块如Vaults、Bridge及单边质押仍维持运行。
零签名绕过验证机制引发数据污染
事件溯源显示，攻击源于Supra验证器对零签名的错误接纳。尽管输入为无效签名，但其数值在数学上等同于恒等点，使配对检查返回真值。系统误判此为合法委员会签名，进而将虚假价格写入主网。据报告，这一缺陷已被修复，相关验证器合约已在主网上完成更新。
借贷逻辑依规执行，无内部漏洞
Bonzo团队强调，其借贷合约严格遵循预设代码逻辑，依据经批准的数据源进行抵押品评估与额度计算。所有行为均在系统设计范围内执行，排除了合约自身缺陷、闪电贷攻击及常规市场操纵的可能性。此外，另一账户在异常期间借出约100万美元，自称白帽并愿归还资产，该部分尚未计入最终损失总额。
跨链转移加速资产离场
在官方披露前，安全研究人员监测到逾580万美元资金通过LayerZero桥由Hedera转移至以太坊网络。部分资产经由封装比特币转换为以太币，交易活动持续引发市场波动，导致HBAR价格下跌超2%。
价格恢复滞后于攻击发生
根据文档，合法价格在UTC时间01:36被重新发布，恢复至约0.1964 HBAR，但该时间点早于借贷池暂停前五分钟。此次事件仅影响SAUCE与其他代币的交易对，包括HBARX、XSAUCE、DOVU、PACK、KARATE、STEAM和HST。后续报告确认主要损失金额为905万美元。
