Solido Money 预言机漏洞事件：293.7 亿 SUPRA 代币如何因一个“过时”的价格被卷走

这次攻击分 两波 进行，均利用了同一个漏洞 ：

• 第一波（18:21:35 UTC）： 攻击者通过一笔复杂的交易，将兑换代币、存入抵押品、铸造 CASH 稳定币等多个步骤连环操作，一次性净赚 266,778,767 枚 SUPRA 。
• 第二波： 攻击者几乎复制了相同的操作模式，最终使总获利达到约 2.937 亿枚 SUPRA 。

区块链安全公司 PeckShield 已确认本次攻击及大概的损失金额 。

值得关注的是，被盗资金中 约 90% 属于 Solido 基金会自身，而非普通用户的存款。这意味着，承受主要经济损失的是项目方，而不是单个的存款用户或借款人 。

链上追踪：2.2 亿枚 SUPRA 流入 Gate.io

Solido Money 发布了一份详细的调查分析报告，清晰描绘了资金的链上流向：

• 大约 2.2 亿枚 SUPRA（约占被盗代币总数的 84%）被转移到了一个 疑似 Gate.io 交易所的充值地址 。虽然部分来源称“近 90%”资金流向交易所，但官方报告和多数新闻报道均引用 84% 这一数据 。
• 分析认为，攻击者将这些代币存入 Gate.io，很可能是为了通过交易所进行变现或跨链转移 。
• 目前，Solido 团队已请求各大交易所协助冻结和追回流失的资金 。

两周两次攻击：Supra 预言机生态链的系统性风险

Solido 攻击并非孤立事件。仅在此 12 天前（2026 年 7 月 11 日），基于 Hedera 网络的借贷协议 Bonzo Lend 就因类似的预言机漏洞损失了约 905 万美元 。

Bonzo Lend 事件回顾（7 月 11 日）：

• 攻击者仅存入了 250 枚 SAUCE 代币（价值仅几美元），然后提交了一个被篡改的 SAUCE/wHBAR 价格更新，将代币价值虚高了 12 个数量级 。
• 其根本原因是 Supra 链上验证合约的一个 BLS 零签名接受漏洞。该验证器接受了一个携带归零签名和公钥的伪造价格 。
• 在仅仅 8 秒内，攻击者就借走了 663 万 USDC 和 3450 万 wHBAR 代币 。

两个协议——Solido Money 和 Bonzo Lend——均 将 Supra 作为其核心预言机提供商 。然而，两次攻击却暴露了同一基础设施上的两种不同故障模式：

• Bonzo 的漏洞 是 密码学验证失败（零签名绕过），直接在于 Supra 链上验证器的逻辑缺陷 。
• Solido 的漏洞 是 预言机价格喂价的配置错误/数据过时，问题出在 Solido 如何摄取和验证 Supra 价格数据的环节 。

连续两周内发生的这两起事件，让 Supra 的预言机生态 受到了前所未有的审视。安全分析师呼吁，DeFi 协议必须严格执行时间戳验证、价格正常化处理以及多源数据聚合，以避免类似的攻击再次发生 。

给 DeFi 项目方的三个关键教训

1. 预言机配置错误，危害不亚于系统漏洞。 一个过时的价格，和损坏的签名验证器一样，可以被轻易利用。
2. 项目方金库与个人用户的资金面临同样风险。 90% 的损失由基金会承担，凸显了项目方自身储备金敞口过大的系统性风险。
3. 单点依赖是系统安全的天敌。 Bonzo 和 Solido 都依赖同一个预言机提供商（Supra），使得安全漏洞可以轻松在多个协议之间蔓延。
4. 链上追踪能力是补救的最后希望。 Solido 通过自有的链上分析，追踪到了 84% 被盗资金的流向，为后续的行动提供了明确线索。

Solido 事件再次为 DeFi 行业敲响警钟：当价格本身出错时——无论是由于数据过时还是签名伪造——其破坏力足以动摇整个生态链。