Hedera 借貸協議 Bonzo Finance 遭預言機攻擊失血逾 9 百萬美元，TVL 暴跌 77%

Hedera 網絡上的借貸協議 Bonzo Finance 遭黑客利用第三方預言機合約的驗證漏洞入侵，被抽走約 905 萬美元資產，總鎖倉價值（TVL）隨即大跌 77%。CoinDesk 報道指，事件突顯 DeFi 應用倚賴外部價格餵價而缺乏足夠防護時，風險可迅速擴散。 值得注意的是，漏洞並非出自 Bonzo 自身智能合約，而是源於其接入的 Supra 預言機整合。這一點反映出不少協議即使已對內部程式碼作大量審計，實際攻擊面仍會延伸至所有外部依賴的基礎設施；預言機合約內一段有缺陷的驗證流程，已足以令協議流動性幾近被清空。黑客行動迅速，待問題被發現時，資金已大幅流失。 根據現有資訊，攻擊者透過操控價格預言機邏輯，把抵押品估值抬高，繼而以被"灌水"的抵押價值借出資產。由於 Supra 合約未能妥善核實輸入數據，惡意方得以提供虛假價格，而 Bonzo 的借貸機制把該價格視為可信依據，直接用於貸款價值比（LTV）等關鍵計算。一旦價格信任機制被破壞，協議的償付能力亦隨之瓦解。 預言機相關攻擊在 DeFi 並不罕見，多條公鏈多年來屢有案例；但對 Hedera 而言，這次打擊更為明顯，因 Bonzo 曾是該網絡規模較大的借貸市場之一。TVL 急挫意味著數以百萬計的流動性撤出，倉位受困，市場對生態承受對抗性壓力的信心亦受挫。 Hedera 近年以高吞吐量及固定低費用吸引項目落地，DeFi 版圖逐步擴張，但整體規模仍遠小於 Ethereum 或 BNB Chain。按開發者活躍度等指標，Ethereum、BNB Chain、Polygon 明顯領先；像 Hedera 這類較小生態的容錯空間更薄，一宗高關注度事故足以抵銷數月的用戶增長。對於原本審慎試水的機構用戶及流動性提供者而言，Bonzo 事件等同為 Hedera DeFi 加上新的風險溢價，同時亦引發市場關注：當地借貸協議是否過度依賴少數預言機供應商。Supra 在事件中的角色，預料將令外界重新審視權限型或準權限型賬本上的預言機供應格局。 Bonzo 的情況亦再次提醒市場，預言機操縱並非個別意外，而是去中心化金融的主要攻擊向量之一，核心在於鏈下數據與鏈上執行之間的落差。業界已有多種緩解方案，例如多來源報價、時間加權平均價格（TWAP）、熔斷機制等，但往往伴隨更高的複雜度與成本；規模較小的協議常在簡化與安全之間取捨，而較小公鏈亦未必具備足夠深厚的基建選項。 至於用戶能否取回損失，目前仍未明朗。過往部分事件曾透過談判或白帽賞金安排追回部分資金，但暫未有即時且確定的處理路徑。Bonzo 團隊需評估賠付方案是否可行，並重新設計預言機整合架構。對 Hedera 社群而言，未來數周將考驗流動性會否回流，抑或轉移到其他生態。整體啟示亦相當清晰：DeFi 走向更多新鏈，舊有漏洞亦會隨之而來；若預言機安全未能從第一天就被視為核心優先事項，更多協議的流動性池仍可能在數分鐘內被抽空。