Solido Money 被駭！過期定價漏洞令 2.937 億 SUPRA 被盜，加密 DeFi 安全再響警號

攻擊點樣發生？老舊喂價嘅槓桿遊戲

Solido Cash 嘅預言機錯配，具體嚟講係一條過期或錯誤指向嘅價格喂送被用嚟估值 SOLID 抵押品。因為 SOLID 被錯誤定價接近 1 美元，而實際市價只係零頭，黑客存入 SOLID 做抵押品嗰陣，系統就畀咗一個虛高嘅估值，佢哋就可以 mint 出 CASH（Solido 嘅穩定幣）再換成 SUPRA 提取走。

攻擊分開兩波進行，兩次都用同一條漏洞：

• 第一波（Wave A，UTC 18:21:35）： 一筆交易就完成咗換幣、存入抵押品、mint CASH 嘅連鎖操作，一口氣攞走 266,778,767 SUPRA。
• 第二波（Wave B）： 黑客重複同樣手法，將總數推高到約 2.937 億 SUPRA。

安全公司 PeckShield 確認咗呢次攻擊同大約嘅損失。

關鍵係，大約 90% 被盜資金屬於 Solido 基金會本身，唔係來自散戶，即係基金會——唔係個別借貸人——扛晒幾乎全部損失。

鏈上追蹤：84% 資金流入交易所

Solido Money 事後發布咗一份法證報告，詳細交代咗鏈上資金流向：

• 大約 2.2 億 SUPRA——即係約 84% 被盜代幣——被轉移到一個懷疑係 Gate.io 嘅存款地址。部分媒體將呢個數字寫成「近 90%」（2.2 億對比 2.937 億），但 Solido 官方報告同多數新聞用嘅係 84%。
• 黑客懷疑係將代幣存入 Gate.io，準備兌現或者跨鏈轉移。
• Solido 已經請求交易所協助凍結同尋回資金。

更大嘅畫面：兩週內兩次 Supra 預言機攻擊

Solido 呢次攻擊唔係孤立事件。只係12 日之前，2026年7月11日，建基於 Hedera 嘅借貸協議 Bonzo Lend 先被掠走約 905 萬美元，同樣係預言機漏洞。

Bonzo Lend（2026年7月11日）：

• 黑客只係存入咗 250 個 SAUCE 代幣（值幾蚊美金），然後提交咗一個偽造嘅 SAUCE/wHBAR 價格更新，將個幣價誇大咗 12 個數量級。
• 漏洞係 Supra 鏈上驗證器嘅一個 BLS 零簽名漏洞：驗證器接受咗一個帶有零值簽名同公鑰嘅偽造價格。
• 短短 8 秒內，黑客就借走咗 663 萬 USDC 同 3450 萬 wHBAR。

兩個協議——Solido Money 同 Bonzo Lend——都係用 Supra 做預言機供應商。但係兩次嘅失敗方式唔同：

• Bonzo 嘅問題係 密碼驗證失敗（零簽名繞過）。
• Solido 嘅問題係 喂送設定錯誤/過期（價格錯配）。

兩星期內兩次攻擊，令到 Supra 預言機生態系統受到高度關注。安全分析師呼籲必須加強時間戳驗證、喂送小數點規範化，同埋採用多重價格來源匯總，先可以杜絕呢類攻擊。

DeFi 協議嘅關鍵教訓

1. 喂送設定錯同密碼漏洞一樣危險。 一條過期價格喂送可以造成嘅破壞，唔會細過一個爛咗嘅簽名驗證器。
2. 九成被盜資金係基金會嘅錢。 呢件事反映出項目方金庫同協議風險有幾咁緊密嘅關係。
3. 單一預言機依賴製造系統性風險。 Bonzo 同 Solido 都靠同一個供應商（Supra），一個漏洞就足以震冧幾個協議。
4. 區塊鏈法證有助追蹤。 Solido 嘅報告成功追到 84% 資金流向指定交易所地址，畀調查人員明確嘅追查方向。

Solido 呢次攻擊揭示咗一個核心教訓：當價格喂送失效——無論係因為過期定係偽造簽名——災難可以好快蔓延成整個生態系統嘅危機。