Donc, dans Il a mangé des bonbons / trois bonbons / beaucoup de bonbons, (x) bonbons n’est pas COD, puisqu’on peut dire Combien de bonbons a-t-il mangé(s) ?

Je crois qu’il ne fait pas de doute que ce groupe est COD, en revanche, il est vrai que lorsque le COD est déterminé par un adverbe de quantité, si l’accord se fait généralement avec le complément, il peut aussi se faire avec le déterminant (au masculin singulier « neutre », donc). Extrait du Bon Usage :

(Et victimes est COD d‘indemniner quand on questionne leur qualité/identité (quelles victimes) mais non leur quantité (combien de victimes) ?)

Je vous lis… je réfléchis.
parce que je ne dirai pas : combien de victimes a-t-il faites ?
Alors il n’y a pas de doute, cela vient du verbe « faire »  : faire des victimes est finalement une locution verbale qu’on peut rapprocher de « blesser ».  Ce serait pour cela qu’on ne peut accorder le PP,  Qu’en pensez-vous ?

Vous rejetez l’accord uniquement avec combien, ou également dans « Les victimes faites par l’attentat » ou encore « Les victimes que l’attentat a faites » ?

A partir du moment où on accepte l’argument de la locution verbale il faut rejeter toutes les occurrences.
Mais je n’affirme pas que cet argument soit valable.
On peut aussi -et à cette occasion- faire remarquer que la question de l’accord du PP n’est qu’une convention. La règle est d’ailleurs de moins en moins appliquée à l’oral/

En admettant que Faire des victimes soit une locution verbale (bien que je ne voie pas trop pourquoi ça en serait une), la locution verbale n’empêche pas systématiquement la pronominalisation ou la mise au passif : Faire lecture = lecture a été faite / Avoir la trouille = Mais la trouille, quel est le soldat qui ne l’a pas eue au moins une fois ? 

Cet argument n’est donc en rien décisif.