Bonzo Lend 是一個位於 Hedera 網路上的借貸協議，7 月 11 日遭攻擊者利用 Supra 的第三方預言機驗證器缺陷，約損失 905 萬美元。攻擊者透過驗證器送出一筆帶有歸零簽名的假價格更新，且該簽名被錯誤地判定為有效，導致 SAUCE 的價格被約放大十二個數量級。該漏洞使攻擊者能以遠低於借款金額的一部分作為抵押進行借貸，掏空了協議的借貸資金池。Hedera 確認事件僅限於外部預言機驗證器，未危及網路的共識或核心服務。Supra 承認驗證缺陷，並在 Hedera 主網部署修復至受影響合約。
攻擊者於 7 月 11 日利用 Supra 預言機驗證器
根據 Bonzo 的事件報告，攻擊大約在 7 月 11 日 00:51（UTC）開始。團隊指出，被標記為 Wallet A 的錢包提交了一筆以歸零簽名簽署的價格更新，而 Supra 的驗證器將其接受為有效。該更新將 SAUCE 的價格設為「1」後接三十個零，對照實際市價約為 0.2 HBAR，令該代幣價值被約放大十二個數量級。由於用該水準計價 SAUCE 抵押品，該錢包便得以掏空協議的借貸資金池。
歸零簽名繞過驗證流程
Bonzo 的報告追溯失效原因，指出是 Supra 的驗證器如何檢查簽名。「被要求驗證特定方程是否成立的配對預編譯（pairing precompile）被詢問後，它正確回答是。接著 Supra 的驗證器把那個『是』視為有效委員會簽名的證明，但它其實從未如此」，報告如此表示。團隊強調，自己的合約用於計價抵押品並計算借貸能力，完全符合程式碼所寫內容：「Bonzo Lend 的合約在任何時點都沒有發生故障。」Hedera 也支持該說法，表示失效發生在上游的預言機層，且網路的共識與核心服務未遭到破壞。
白帽錢包承諾返還 100 萬美元
另一個錢包同樣利用該缺取得約 100 萬美元。Bonzo 表示，該錢包此後已聯繫團隊，表明自己是白帽回應者（white-hat responder），並承諾返還資金。團隊不將這筆金額計入標題中的損失數字。
Bonzo 暫停產品，TVL 下滑 78%
在遭遇該漏洞後，Bonzo 暫停了其 Lend 與 Points 產品，而其 Vaults、Bridge 與質押（staking）產品仍持續運作。根據 DefiLlama 的資料，協議中的總鎖定價值（TVL）從 7 月 10 日約 1430 萬美元，下滑至 7 月 12 日約 320 萬美元，約下跌 78%。團隊表示正與白帽回應者協調返還資金，並制定暫停解除與重新開放流動性提供者（liquidity providers）提款的條件。Supra 已在 Hedera 主網部署修復至受影響合約，並與資安研究人員合作分析該攻擊。
FAQ
7 月 11 日的 Bonzo Lend 漏洞是什麼造成的？
該漏洞發生於攻擊者以歸零簽名提交 SAUCE 代幣的價格更新，而 Supra 的第三方預言機驗證器錯誤地接受其為有效。這使攻擊者得以將 SAUCE 的價格約放大十二個數量級，並以價值僅為借款一小部分的抵押品借到約 905 萬美元。
Hedera 與 Supra 如何回應預言機漏洞？
Hedera 確認事件僅限於外部預言機驗證器，並表示網路的共識與核心服務未遭到破壞。Supra 承認驗證缺陷，並已在 Hedera 主網部署修復至受影響合約，且正與資安研究人員合作分析該攻擊。
漏洞發生後，Bonzo Lend 的總鎖定價值（TVL）發生了什麼？
根據 DefiLlama 的資料，Bonzo Lend 的總鎖定價值從 7 月 10 日約 1430 萬美元，降至 7 月 12 日約 320 萬美元，約下跌 78%。該協議暫停了其 Lend 與 Points 產品，而 Vaults、Bridge 與質押（staking）產品則持續運作。
