Lien Finance hat etwa 542.000 USDC verloren, nachdem ein Angreifer eine Schwachstelle in seiner Bond-Token-Logik ausnutzte, um nicht unterstützte Vermögenswerte zu prägen und Liquidität aus dem Protokoll abzuziehen.
Zusammenfassung
- Lien Finance verlor etwa 542.000 USDC, nachdem Angreifer eine Schwachstelle in der Bond-Token-Austauschlogik ausnutzten.
- Sicherheitsforscher sagten, der Exploit ermöglichte es, nicht unterstützte Bond-Token zu prägen und gegen echte Liquidität aus dem Protokoll einzutauschen.
- Der Vorfall reiht sich in eine Serie von DeFi-Exploits in diesem Monat ein, während Forscher weiterhin Schwachstellen in der Preis- und Validierungslogik von Protokollen untersuchen.
Die Blockchain-Sicherheitsfirma SlowMist sagte, der Exploit zielte auf den Bond-Austauschmechanismus von Lien Finance ab und ermöglichte es dem Angreifer, Bond-Token zu erstellen, ohne die entsprechenden Eingabe-Bonds zu zerstören, bevor sie gegen USDC getauscht wurden. Die Firma schätzte den Verlust auf etwa 542.144,63 USDC und identifizierte die Angreifer-Wallet als 0x0d7d…1808a.
Laut SlowMist befand sich die Schwachstelle in der Funktion exchangeEquivalentBonds des Vertrags BondMakerCollateralizedEth. Die Analyse ergab, dass die Funktion die Integrität von Bond-Gruppen während des Austauschs nicht ordnungsgemäß überprüfte. Anstatt zu prüfen, ob jede Bond-ID die erforderliche Anzahl von Malen vorkam, zählte der Vertrag nur die Gesamtzahl der Ausnahmeeinträge. Durch wiederholte Verwendung derselben Ausnahme-Bond-ID in der Ausgabegruppe erfüllte der Angreifer die Validierungslogik, während er eine andere erforderliche Bond aus der Eingabe ausließ.
SlowMist sagte, der Fehler erlaubte es dem Angreifer, neue BondTokens zu prägen, die gültig erschienen, obwohl keine entsprechende Sicherheit verbraucht worden war. Die neu erstellten Vermögenswerte wurden dann über drei vorautorisierte Endpunkte gegen USDC getauscht, was zum Abzug von etwa 542.144,63 USDC von der Opferadresse 0xa961684a3a654fb2cca8f8991226c0cefc514d80 führte.
Die Sicherheitsfirma identifizierte die betroffenen Verträge als 0xda6fc5625e617bb92f5359921d43321cebc6bef0 und 0x843225cf6e663e4454732d6b551a737ac7b47de0.
Erlaubnisfreie Bond-Registrierung und Preislogik unter der Lupe
Eine separate On-Chain-Analyse von DefimonAlerts, später verstärkt durch den Forscher exvulsec, beschrieb den Vorfall als einen Protokoll-Logikfehler, der erlaubnisfreie Bond-Registrierung mit Preisschwächen in den außerbörslichen Bond-Pools von Lien Finance kombinierte.
Laut dieser Analyse setzte der Angreifer zunächst einen Orchestrierungsvertrag ein, bevor er eine neue Bond-Gruppe über den Vertrag BondMakerCollateralizedEth registrierte. Da der Registrierungsprozess keine Governance-Genehmigung erforderte, konnte der Angreifer Berichten zufolge eine Bond-Gruppe einführen, die um eine bösartige Auszahlungsfunktion herum aufgebaut war.
Der Bericht sagte, die maßgeschneiderten Bond-Token wurden dann in die GeneralizedDotc-OTC-Pools von Lien Finance geleitet. Er wies auf die interne Funktion _calcRateBondToErc20 des Protokolls hin und sagte, dass sie den neu erstellten Bonds trotz fehlender echter Sicherheiten einen übermäßigen Wert zugewiesen zu haben scheint.
Infolgedessen tauschte der Angreifer von Forschern als faktisch ungestützt beschriebene strukturierte Produkte gegen echte USDC-Liquidität, die in den Pools des Protokolls gehalten wurde. Der primär betroffene Liquiditätspool war der GeneralizedDotc-Vertrag unter 0x656e…9ef18, während die Wallet des Angreifers die Erlöse über die Haupt-Exploit-Transaktion erhielt.
Forscher, die den Exploit untersuchen, haben ihn als Protokoll-Preis- und Validierungsfehler beschrieben, nicht als herkömmlichen Smart-Contract-Exploit wie Reentrancy oder Umgehung der Zugriffskontrolle. Laut der veröffentlichten Analyse beruhte der Angriff auf der Einführung synthetischer Finanzinstrumente, deren wirtschaftlicher Wert nicht ausreichend validiert wurde, bevor sie für OTC-Swaps in Frage kamen.
Die Forscher verglichen den Vorfall mit dem Drift-Protocol-Exploit im April, bei dem Angreifer angeblich gefälschte Sicherheiten einführten, die das Protokoll zu überhöhten Werten akzeptierte, bevor reale Vermögenswerte abgezogen wurden. Sie stellten fest, dass sich die beiden Fälle in der Umsetzung unterscheiden, aber ein ähnliches Muster der Ausnutzung von Bewertungslogik anstelle der Überwindung kryptografischer Schutzmaßnahmen aufweisen.
Jüngster Vorfall reiht sich in eine Serie von DeFi-Exploits ein
Der Lien-Finance-Exploit ereignet sich in einer aktiven Phase für Sicherheitsvorfälle im dezentralen Finanzwesen.
Nur einen Tag zuvor bezeichnete die On-Chain-Analyseplattform Lookonchain den 23. Juli als „Hackers' Day", nachdem drei separate Exploits zu gemeldeten Gesamtverlusten von etwa 35,55 Millionen US-Dollar geführt hatten. Zu diesen Vorfällen gehörten ein Exploit in Höhe von 24,15 Millionen US-Dollar, der die Brückeninfrastruktur von AFX Trade betraf, ein Angriff auf die Verus Ethereum Bridge in Höhe von 7,54 Millionen US-Dollar und ein separater Exploit in Höhe von 3,86 Millionen US-Dollar, der das B²-Netzwerk betraf.
Beim AFX-Vorfall erklärte die Blockchain-Sicherheitsfirma Blockaid, dass Angreifer etwa 24,15 Millionen US-Dollar in USDC aus der vom Protokoll betriebenen Infrastruktur abgezogen hätten, nicht aus der nativen Brücke von Arbitrum. Offchain Labs bestätigte separat, dass die Kernbrücke von Arbitrum nicht kompromittiert wurde, und erklärte, dass der Vorfall eine Drittanbieter-Infrastruktur betraf.
Unterdessen verband Blockaid auch den jüngsten Verus-Ethereum-Bridge-Exploit mit demselben Brückenvertrag, Einstiegspfad und offensichtlichen Bug-Typ, der beim Sicherheitsverstoß des Projekts im Mai eine Rolle spielte. Die Firma erklärte, dass der Juli-Angriff ungedeckte Ethereum-seitige Auszahlungen durch den Importprozess der Brücke generierte, obwohl eine vollständige technische Erklärung noch nicht veröffentlicht worden war.
Anfang dieses Monats verlor das Lazy Summer Protocol etwa 6,04 Millionen US-Dollar durch einen Aktienkursmanipulationsangriff, während Bonzo Finance auf Hedera Verluste von rund 9 Millionen US-Dollar nach einem Oracle-bezogenen Exploit meldete. Allbridge Core erlitt ebenfalls einen Flash-Loan-getriebenen Stable-Pool-Angriff, der etwa 1,65 Millionen US-Dollar abzog, und das von Polychain unterstützte Cascade verlor im Juli bei einem weiteren Exploit etwa 1,34 Millionen US-Dollar.
Forscher, die Angriffe auf dezentrale Finanzsysteme verfolgen, schätzen die kumulierten Verluste in den ersten sieben Monaten des Jahres 2026 auf über 630 Millionen US-Dollar. Ihre Daten identifizieren Oracle-Manipulation, Preisungsfehler, kompromittierte Anmeldeinformationen und Brückenvalidierungsschwächen als die häufigsten Angriffsvektoren, die in diesem Jahr verzeichnet wurden.
BondMaker-Architektur hatte bereits früher Sicherheitsprobleme
Für langjährige Ethereum-Entwickler greift der jüngste Exploit eine Architektur auf, die bereits zuvor Sicherheitsaufmerksamkeit erregt hatte.
Im September 2020 verhinderte eine von Sicherheitsforscher Samczsun geführte White-Hat-Gruppe den Verlust von rund 10 Millionen US-Dollar, nachdem sie einen Fehler im ursprünglichen BondMaker-System von Lien Finance identifiziert hatte.
Sicherheitsforscher sagten damals, dass die frühere Schwachstelle es Angreifern ermöglichte, leere Bond-Gruppen zu erstellen, die über eine Äquivalenzfunktion gegen ordnungsgemäß besicherte Gruppen eingetauscht werden konnten, was es möglich machte, Ether ohne entsprechende Deckung zu extrahieren. Das Problem wurde abgefangen, bevor böswillige Akteure es ausnutzen konnten, und die Wiederherstellung wurde zu einer der bekanntesten koordinierten White-Hat-Rettungsaktionen von Ethereum.
Im Gegensatz zum Vorfall im Jahr 2020 führte der jüngste Exploit zu einem tatsächlichen Verlust, nachdem Angreifer Schwachstellen in der Bondvalidierung und Preislogik ausnutzten, um USDC aus aktiven Liquiditätspools abzuziehen. Zum Zeitpunkt der Veröffentlichung hatte Lien Finance noch keinen detaillierten technischen Postmortem veröffentlicht oder bekannt gegeben, ob gestohlene Gelder eingefroren oder zurückgeholt wurden.
