9億臺幣蒸發！Bonzo Lend 被駭揭露 DeFi 挖礦的隱藏炸彈

你有沒有想過，借個錢而已，怎麼會瞬間損失近九億新臺幣？這不是電影情節，而是上週真實發生在 Hedera 鏈上的 DeFi 駭客事件。Bonzo Lend，一個主打穩定的借貸協議，就這樣被駭客用區區幾百顆代幣搬走了六百三十萬顆 USDC。到底發生什麼事？

攻擊手法大解析：Oracle 才是最弱的環節

老實說，這次的攻擊手法不算新鮮，但效果異常驚人。駭客只用了 250 顆 SAUCE 代幣——市值大概幾塊錢——然後透過 Supra 的鏈上 Oracle 驗證器動了手腳，把 SAUCE 的價格瞬間拉高了大約 12 個數量級。想像一下，你拿一塊錢的東西，瞬間讓系統以為它價值一千億，這就是這次攻擊的誇張程度。

有了這個「被操控的價格」，駭客在 Bonzo Lend 借走了 6.63 萬顆 USDC 和 34.5 萬顆包裝過的 HBAR。整個過程，Bonzo 的合約正常運作，Hedera 網路也沒有當機——問題出在 Oracle 價格餵價系統的驗證機制上。

為什麼 Oracle 這麼容易被盯上？

很多人以為 DeFi 協議被攻擊，一定是智慧合約寫錯了。但這次的事件告訴我們一個殘酷的事實：就算合約寫得再嚴謹，如果價格資訊的來源被操控，整個系統就會像紙糊的一樣脆弱。Oracle 的角色，就是把「市場價格」這個關鍵資料餵給智慧合約。一旦這個資料被扭曲，合約就像瞎子一樣，什麼離譜的操作都會接受。

900 萬美元蒸發後，誰該負責？

事件發生後，Bonzo Lend 很快發布了初步報告，把責任歸咎於 Supra 的鏈上 Oracle 驗證器。他們說，Supra 的系統接受了帶有零簽名的操控價格，這是一個明顯的設計缺陷。Supra 方面也承認了問題，並緊急部署了修復方案。

但這裡有個值得我們深思的點：責任歸屬和使用者損失是兩回事。協議方說「這不是我們合約的問題」，技術方說「我們已經修好了」，但那些真金白銀不見的使用者，誰來賠償？這也是 DeFi 領域最讓人無奈的灰色地帶。

2026 年的 DeFi 安全地圖：情況在惡化

如果你以為這只是單一事件，那資料會讓你清醒。2026 年第二季，已經成為有史以來被駭最慘的一季——83 起安全事件，約 7.55 億美元被盜。跨鏈橋攻擊貢獻了 3.51 億美元，另有 37% 的損失來自於管理員許可權被盜和假代幣價格操控。

更慘的是，整體 DeFi 鎖定價值（TVL）從年初的 1150 億美元一路下滑到 6 月的 700 億美元，跌幅高達 39%。專家分析，連續不斷的安全事故正在侵蝕使用者信心，資金持續外流，這種情況短期內似乎沒有減速的跡象。

類似的攻擊模式不只一起

有趣的是，類似手法在區塊鏈世界並不孤單。今年二月，Stellar 鏈上的 YieldBlox DAO 管理借貸池也遭遇幾乎一樣的攻擊——駭客操控了 USTRY 代幣的價格路徑，順利搬走了約 1000 萬美元。這些案例都在提醒我們：Oracle 操控已經成為 DeFi 領域的常見攻擊向量。

身為一般投資人，我們能怎麼做？

說實在的，看到這種新聞，正常人都會問：那我在 DeFi 裡的錢還安全嗎？答案可能有點令人失望——沒有 100% 安全的地方，但你可以做到幾件事來降低風險：

• 分散存放：不要把所有資金押在同一個協議
• 看清 Oracle 機制：使用那些有多重價格來源、異常波動會自動暫停的協議
• 關注歷史紀錄：選擇有公開安全審計且沒有重大漏洞紀錄的專案
• 小額試水：新手別一次投入大筆資金，先用可承受損失的金額測試

結語：每一次教訓都是進步的養分

Bonzo Lend 的這起事件，無疑是 DeFi 發展史上的一個傷口。但從另一個角度看，每一次的教訓都在推動整個產業變得更加成熟。Oracle 機制的改進、多重簽名的防護、使用者教育的深化，這些都是未來安全的重要基石。

區塊鏈的世界充滿機會，也充滿陷阱。與其期待「零風險」，不如學會如何在風險中做出更聰明的選擇。這，或許是我們每一個 Web3 參與者必修的課題。

FAQ 常見問題

Bonzo Lend 被駭的損失有多少？

攻擊者透過操控 SAUCE 代幣的價格，在 Bonzo Lend 借走了價值約 900 萬美元的 USDC 和包裝 HBAR，總損失約新臺幣 9 億元。

這次攻擊是誰的責任？

Bonzo Lend 將責任歸咎於 Supra 的 Oracle 驗證器，認為是其系統接受了帶有零簽名的操控價格。Supra 已承認問題並部署修復，但使用者損失的賠償問題目前仍無明確方案。

DeFi 借貸協議還能放心使用嗎？

沒有絕對安全的協議，但可以選擇有完善安全機制的借貸平臺。建議分散資金、選擇有多重 Oracle 來源的協議，並關注專案方的安全審計紀錄。

什麼是 Oracle 操控攻擊？

Oracle 操控攻擊是指駭客幹預區塊鏈外部價格資訊的來源，讓智慧合約接收到錯誤的價格資料，進而利用這個錯誤進行超額借貸或套利。