Bonzo Finance 在 Hedera 遭遇 900 万美元预言机攻击后，TVL 暴跌 77%

Bonzo Finance遭预言机漏洞攻击，TVL暴跌77%

Hedera网络上的借贷协议Bonzo Finance因攻击者利用第三方预言机合约中的验证缺陷，窃取了约905万美元，导致其总锁仓价值（TVL）骤降77%。这一事件凸显了当DeFi应用依赖外部价格馈送而缺乏足够安全防护时，可能引发的连锁风险。

漏洞并非存在于Bonzo自身的智能合约中，而是源于Supra预言机的集成问题。这一区别至关重要。协议通常会对内部代码进行广泛审计，但攻击面却延伸至它们所接入的每一个基础设施组件。预言机合约中一个简单的验证例程缺陷，就足以耗尽协议几乎全部的流动性。攻击者行动迅速，当问题被发现时，损失已然造成。

预言机攻击如何发生

根据现有信息，攻击者操纵了价格预言机逻辑，利用虚增的抵押品价值借入资产。由于Supra合约未能正确验证传入数据，恶意行为者得以提交虚假价格，而Bonzo的借贷逻辑却完全信任这些数据。这种信任是整个贷款价值比计算机制的基础。一旦被打破，协议的偿付能力便荡然无存。

预言机攻击在DeFi领域并非新鲜事。多年来，这类攻击已波及多条链上的众多协议。但这次事件对Hedera的打击尤为沉重，因为Bonzo已成为该网络上最大的借贷市场之一。TVL下降77%意味着数百万美元的流动性被抽走、仓位被锁定，以及市场对生态系统抵御恶意压力能力的信心骤降。

Hedera DeFi愿景遭遇挫折

Hedera一直在默默构建其DeFi版图，凭借高吞吐量和固定的低费用吸引项目。然而，与以太坊或BNB Chain相比，该网络仍是一个相对较小的参与者。当顶级公链在开发者活跃度上遥遥领先时，像Hedera这样的网络容错空间更为有限。一次引人注目的安全事件就可能让数月积累的用户增长付诸东流。

对于此前谨慎试水Hedera DeFi的机构用户和流动性提供者而言，Bonzo事件引入了新的风险溢价。这也迫使人们思考：该网络的借贷协议在多大程度上依赖于少数几个预言机提供商？Supra在此事件中的角色，无疑将引发人们对许可型及准许可型账本上预言机生态的关注。

预言机问题不会消失

Bonzo发生的事件并非孤例。预言机操纵仍然是去中心化金融中最主要的攻击向量之一，因为它利用了链下数据与链上执行之间的鸿沟。解决方案是存在的——多源价格、时间加权平均价格、熔断机制——但每种方案都会增加复杂性和成本。较小的协议往往为了简便而牺牲安全，而较小的链可能缺乏足够的基础设施来提供稳健的替代方案。

Bonzo用户的资金追回前景仍不明朗。虽然过去一些攻击事件通过谈判或白帽赏金实现了部分资金返还，但目前尚未确认任何可行的路径。该协议团队需要评估赔偿计划是否可行，以及如何重新设计预言机集成。对于Hedera社区而言，未来几周将检验流动性是回流还是外迁。

更广泛的教训是明确的。随着DeFi向新链扩展，同样的旧漏洞也会随之而来。除非预言机安全从一开始就被列为最高优先级，否则更多协议将面临几分钟内流动性池被掏空的命运。