Bonzo Lend 被盜 900 萬美元！Oracle 價格操縱漏洞完整解析

Bonzo Lend 遭駭 900 萬美元，我的 DeFi 資產還安全嗎？

你有沒有看過那種「明明什麼都沒做，錢就消失」的劇情？在 DeFi 世界裡，這種事情真的會發生。2026 年中，Hedera 鏈上最大的借貸協議 Bonzo Lend 被盜走了約 900 萬美元，攻擊者只用了價值幾塊美元的垃圾代幣，就搬走了數百萬的 USDC 和 HBAR。

老實說，這不是什麼「駭客技術超強」的劇本，而是一個 Oracle（預言機）驗證機制的低階錯誤。接下來，我會把整個事件的來龍去脈拆開來講，讓你弄清楚攻擊者到底做了什麼，以及這種事會不會輪到你頭上。

攻擊手法解析：怎麼把幾塊錢變成幾百萬？

先講結論：問題出在 Supra 的鏈上 Oracle 驗證器，而不是 Bonzo Lend 本身的智慧合約。

第一步：假裝有錢人

攻擊者先去買了 250 個 SAUCE 代幣。SAUCE 是什麼？你可以把它想成一種沒什麼價值的迷因幣，當時市價大概只有幾塊美元。正常人看到這點資金，連借貸的門檻都達不到。

第二步：操控價格

關鍵來了。攻擊者提交了一個價格更新，硬是把 SAUCE 的價格往上拉了約 12 個數量級。12 個數量級是什麼概念？原本 1 元的東西，被改成了 1 兆元。這不是正常的市場波動，而是直接在資料上動手腳。

第三步：借空協議

因為 Oracle 驗證器接受了這個被操控的價格（而且還是一個簽名被清零的價格），系統就真的以為攻擊者放了一筆超級值錢的抵押品。於是攻擊者順利借走了 663 萬 USDC 和 3450 萬顆包裝後的 HBAR，總價值約 900 萬美元。

整個過程中，Hedera 網路正常運作，Bonzo Lend 的智慧合約也沒有被破解。問題就出在「價格資訊從哪裡來」這件事上。

為什麼 Oracle 這麼容易被突破？

如果你有在用借貸協議，應該聽過「預言機」這三個字。簡單來說，智慧合約自己不會查匯率，它需要 Oracle 幫忙提供外部價格資訊。問題在於：

• Oracle 是資料的中間人，如果中間人被買通，整條信任鏈就會斷掉
• 這次出事的 Supra 鏈上驗證器，沒做好「簽名驗證」這道防線
• 攻擊者甚至不需要破解任何加密貨幣的底層技術，只要能在資料傳遞過程中塞入假數字，就能以小博大

Bonzo 官方後來發布宣告，說問題出在 Supra 的合約層面，不是他們自己寫的程式有 bug。Supra 也承認了這個漏洞並且已經修補。但對使用者來說，錢已經不見了。

DeFi 2026 年安全態勢：被盜次數創新高

說實話，Bonzo Lend 這筆金額雖然很大，但在 2026 年的 DeFi 生態裡，已經不算什麼新聞了。根據統計，2026 年 Q2 是有史以來被駭最慘的一季：

專案	資料
被攻擊次數	83 次
總損失金額	約 7.55 億美元
跨鏈橋攻擊	3.51 億美元
管理員許可權被竊	約佔 37%

更糟的是，DeFi 的總鎖定價值（TVL）從 2026 年 1 月的約 1150 億美元，已經跌到 6 月的 700 億美元，跌幅高達 39%。專家認為，頻繁的安全事件嚴重打擊了使用者信心，導致資金持續流出。

就在 Bonzo Lend 出事的前幾個月，Stellar 鏈上的 YieldBlox DAO 也發生了類似的抵押物價格操控攻擊，損失約 1000 萬美元。手法幾乎一模一樣：透過假價格借走超過抵押物價值的資產。

身為普通投資人，該怎麼保護自己？

看到這裡，你可能會問：「所以 DeFi 都不能碰了嗎？」我的答案是：不是不能碰，而是你要知道自己在承擔什麼風險。

• 分散風險：不要把所有資金押在同一個協議上，哪怕它看起來很安全
• 關注 Oracle 供應商：如果你使用的協議依賴某個特定的 Oracle，至少去了解一下那家公司的安全紀錄
• 小心新代幣做抵押：這次攻擊的切入點是 SAUCE這種低流動性代幣，越是新奇的抵押品，越容易被操控
• 檢視審計報告：雖然審計不是萬能，但沒有審計的協議風險絕對更高

結語：安全從來不是「設定好就沒事」

Bonzo Lend 的案例給我們的最大啟示是：DeFi 的安全性不是隻靠智慧合約寫對就好，整個價格供應鏈的每一個環節都可能是破口。攻擊者不需要攻破區塊鏈本身，只要搞定中間那個「傳話的人」，就能把系統玩弄於股掌之間。

如果你想了解更多 DeFi 安全的基礎概念，或者想知道怎麼評估一個借貸協議的風險程度，歡迎繼續看我們的其他文章。接下來我們會針對不同鏈上的安全事件做系列分析，幫你在這個充滿機會但也充滿陷阱的市場裡，保護好自己的資產。

FAQ 常見問題

Bonzo Lend 被盜的原因是什麼？

攻擊者利用了 Supra 提供的鏈上 Oracle 驗證漏洞，操控了 SAUCE 抵押物的價格，把價值只有幾美元的代幣價格人為拉高約 12 個數量級，藉此借走協議內的價值 900 萬美元的資產。

這次攻擊有涉及到 Hedera 網路的漏洞嗎？

沒有。根據 Bonzo 官方的初步報告，這次事件與 Hedera 核心網路無關，也不是 Bonzo Lend 本身的智慧合約被破解。問題出在第三方 Oracle 供應商 Supra 的資料驗證機制。

2026 年 DeFi 被盜的總金額有多高？

2026 年 Q2 是史上被駭最嚴重的一季，共有 83 次攻擊，損失約 7.55 億美元。其中跨鏈橋攻擊佔了 3.51 億美元，管理員許可權被竊的攻擊則佔了整體損失的約 37%。

我應該怎麼挑選安全的 DeFi 借貸協議？

可以從幾個方向評估：是否有知名的安全公司審計、Oracle 供應商的信譽與歷史紀錄、抵押物的流動性與穩定性、協議的社群討論與異常應對速度。別把所有雞蛋放在同一個籃子裡，永遠保留一部分資金在你自己能掌控的地方。

Oracle 在 DeFi 中扮演什麼角色？

Oracle 是智慧合約與外部世界的橋樑，負責把現實世界的價格資訊（如代幣匯率）傳給區塊鏈上的智慧合約。如果 Oracle 資料出錯或被操控，整個依賴該資料的金融操作都可能出現災難性的後果。

類似的攻擊手法之前有發生過嗎？

有。2026 年初，Stellar 鏈上的 YieldBlox DAO 就發生過類似的抵押物價格操控攻擊，攻擊者同樣透過操控 USTRY 的價格路徑，借走了約 1000 萬美元的資產。這類攻擊已經成為 DeFi 領域的常見手法。