2026年7月11日，基于Hedera区块链的去中心化借贷协议Bonzo Lend遭遇预言机攻击，损失约900万美元。攻击者的启动资金仅有250枚SAUCE代币——按市价仅值几美元。随后，攻击者提交了一份经过篡改的价格更新，将SAUCE的价值人为放大了约12个数量级。凭借这一虚增的抵押品估值，攻击者从Bonzo的流动性池中借出了663万枚USDC和3450万枚wrapped HBAR。
攻击手法：250枚SAUCE作抵押，预言机价值被放大12个数量级
初步调查显示，此次攻击的核心是Bonzo Lend对链上预言机数据的依赖。攻击者先存入极少量SAUCE，然后利用Supra提供的预言机验证器中的缺陷，提交了一个带有零签名的操纵价格更��，使SAUCE的价值瞬间飙升。这一操作直接将微小的抵押品变成了抽取数百万流动性的工具。Bonzo Finance在声明中承认，漏洞来自Supra的链上预言机验证器——该验证器未能有效过滤虚假的价格更新。
漏洞根源：Supra预言机验证器缺陷，非合约或网络问题
Bonzo Finance强调，此次攻击并非源于其自身智能合约或底层Hedera网络的漏洞。问题出在预言机系统验证外部价格数据的机制上，该机制对操纵行为缺乏足够的防护。Supra（提供受影响预言机的公司）已确认问题并实施了修复。Bonzo Lend是Hedera链上的一款DeFi借贷协议，允许用户存入资产作为抵押品并借出其他资产。Hedera是一个公共分布式账本平台，以快速、安全的去中心化应用为特点。
2026年Q2 DeFi安全形势：83起攻击损失7.55亿美元
此次攻击是2026年DeFi协议面临持续安全威胁的最新例证。根据研究机构CryptoRank的数据，第二季度共发生83起攻击事件，总损失约7.55亿美元。其中跨链桥攻击损失3.51亿美元，涉及管理员权限受损和代币价格操纵的攻击占总损失的37%。整体来看，2026年上半年DeFi总锁仓价值（TVL）从1月的��1150亿美元下降至6月的约700亿美元，降幅达39%。期间报告了121起黑客事件，预估损失9.42亿美元，表明频繁的安全事故持续侵蚀用户信任并推动资金外流。
同类案例：YieldBlox DAO因USTRY价格路径操纵损失1000万美元
今年早些时候，Stellar网络上的YieldBlox DAO借贷池也曾遭受类似攻击。攻击者操纵了用于评估USTRY抵押品价值的价格路径，在借出远超代币实际价值的资产后，卷走了约1000万美元。这些案例凸显了去中心化金融系统中预言机与外部数据源面临的持续挑战——尽管智能合约安全性和区块链基础设施不断进步，价格预言机依然是复杂攻击的主要目标。