Lien Finance потерял $542 тыс. из-за уязвимости в логике токенов облигаций

Lien Finance потерял около 542 000 долларов США в USDC после того, как злоумышленник использовал уязвимость в логике токенов облигаций, чтобы создать неподдерживаемые активы и вывести ликвидность из протокола.

Резюме

• Lien Finance потерял около 542 000 долларов США в USDC после того, как злоумышленники использовали уязвимость в логике обмена токенов облигаций.
• Исследователи безопасности сообщили, что уязвимость позволила создавать неподдерживаемые токены облигаций и обменивать их на реальную ликвидность из протокола.
• Этот инцидент добавляется к серии атак на DeFi в этом месяце, поскольку исследователи продолжают изучать слабые места в ценообразовании и логике валидации протоколов.

Фирма по безопасности блокчейнов SlowMist сообщила, что уязвимость нацелилась на механизм обмена облигаций Lien Finance, позволяя злоумышленнику создавать токены облигаций без уничтожения соответствующих входных облигаций перед обменом их на USDC. Фирма оценила убытки примерно в 542 144,63 USDC и идентифицировала кошелек злоумышленника как 0x0d7d...1808a.

🚨SlowMist TI Alert🚨

💸 @LienFinance Убыток: ~542 тыс. долларов США

🔍 Основная причина: Функция exchangeEquivalentBonds в BondMakerCollateralizedEth не имеет надлежащих проверок целостности множества. Она просто подсчитывает общее количество исключений, вместо того чтобы проверять появление каждого bondID в группе....
--- SlowMist (@SlowMist_Team) 24 июля 2026 года

Согласно SlowMist, уязвимость находилась в функции exchangeEquivalentBonds контракта BondMakerCollateralizedEth. Их анализ показал, что функция не смогла должным образом проверить целостность групп облигаций во время обменов. Вместо проверки того, появлялся ли каждый идентификатор облигации необходимое количество раз, контракт подсчитывал только общее количество исключений. Повторно используя тот же идентификатор исключения облигации в выходной группе, злоумышленник удовлетворял логику валидации, пропуская другую необходимую облигацию из входных данных.

SlowMist сообщила, что эта ошибка позволила злоумышленнику создавать новые BondTokens, которые выглядели действительными, даже если никакое соответствующее обеспечение не было использовано. Новосозданные активы затем обменивались на USDC через три предварительно авторизованных конечных точки, что привело к выводу около 542 144,63 USDC с адреса жертвы 0xa961684a3a654fb2cca8f8991226c0cefc514d80.

Фирма безопасности идентифицировала затронутые контракты как 0xda6fc5625e617bb92f5359921d43321cebc6bef0 и 0x843225cf6e663e4454732d6b551a737ac7b47de0.

Логика регистрации облигаций без разрешения и ценообразования под пристальным вниманием

Отдельный анализ в цепочке от DefimonAlerts, позднее усиленный исследователем exvulsec, описал инцидент как сбой логики протокола, который сочетал регистрацию облигаций без разрешения с недостатками ценообразования в внебиржевых пулах облигаций Lien Finance.

🚨 @LienFinance -- Убыток $542 тыс. (2026-07-24)

Сеть: Ethereum

Тип: Оракул / Манипуляция с ценами

Внебиржевые пулы Lien Finance GeneralizedDotc были опустошены. Злоумышленник развернул контракт оркестрации (0xe74d17c1), который без разрешения зарегистрировал новые группы облигаций на...
--- Defimon Alerts (@DefimonAlerts) 24 июля 2026 года

Согласно этому анализу, злоумышленник сначала развернул контракт оркестрации, прежде чем зарегистрировать новую группу облигаций через контракт BondMakerCollateralizedEth. Поскольку процесс регистрации не требовал одобрения управления, злоумышленник, как сообщается, смог ввести группу облигаций, основанную на злонамеренной функции выплаты.

В отчете говорится, что созданные токены облигаций затем были направлены в внебиржевые пулы Lien Finance GeneralizedDotc. Он указал на внутреннюю функцию протокола _calcRateBondToErc20, заявляя, что она, похоже, присвоила чрезмерную ценность вновь созданным облигациям, несмотря на отсутствие подлинного обеспечения.

В результате злоумышленник обменял то, что исследователи описали как фактически неподдерживаемые структурированные продукты, на реальную ликвидность USDC, хранящуюся в пулах протокола. Основной затронутый пул ликвидности — контракт GeneralizedDotc по адресу 0x656e...9ef18, в то время как кошелек злоумышленника получил доходы через основную транзакцию эксплуатации.

Исследователи, изучающие эту эксплуатацию, описали её как сбой в ценообразовании и валидации протокола, а не как традиционную эксплуатацию смарт-контракта, такую как повторный вход или обход контроля доступа. Согласно опубликованному анализу, атака полагалась на введение синтетических финансовых инструментов, экономическая ценность которых не была достаточно проверена до того, как они стали подходящими для OTC-свопов.

Исследователи сравнили инцидент с апрельской эксплуатацией Drift Protocol, где злоумышленники, как сообщается, ввели поддельные залоги, которые протокол принял по завышенным ценам до того, как реальные активы были выведены. Они отметили, что два случая различаются по реализации, но имеют схожую схему эксплуатации логики оценки, а не нарушения криптографических защит.

Последний инцидент добавляется к череде атак на DeFi

Эксплуатация Lien Finance произошла в активный период инцидентов безопасности в децентрализованных финансах.

Всего за день до этого аналитическая платформа Lookonchain описала 23 июля как "День хакеров", после того как три отдельные эксплуатации привели к общим заявленным потерям около 35,55 миллиона долларов. Эти инциденты включали эксплуатацию на сумму 24,15 миллиона долларов, связанную с инфраструктурой моста AFX Trade, атаку на сумму 7,54 миллиона долларов на мост Verus Ethereum и отдельную эксплуатацию на сумму 3,86 миллиона долларов, затронувшую B² Network.

В инциденте с AFX компания по безопасности блокчейна Blockaid сообщила, что злоумышленники вывели около 24,15 миллиона долларов в USDC из инфраструктуры, управляемой протоколом, а не из родного моста Arbitrum. Offchain Labs отдельно подтвердил, что основной мост Arbitrum не был скомпрометирован и заявил, что инцидент касался инфраструктуры третьих лиц.

Тем временем Blockaid также связал последнюю эксплуатацию моста Verus Ethereum с тем же контрактом моста, путем входа и очевидным классом ошибок, связанным с нарушением проекта в мае. Компания сообщила, что июльская атака сгенерировала необеспеченные выплаты на стороне Ethereum через процесс импорта моста, хотя полное техническое объяснение еще не было опубликовано.

Ранее в этом месяце протокол Lazy Summer потерял около 6,04 миллиона долларов в результате атаки на манипуляцию ценами, в то время как Bonzo Finance на Hedera сообщила о потерях около 9 миллионов долларов после эксплуатации, связанной с оракулом. Allbridge Core также пострадал от атаки на стабильный пул, вызванной флеш-займом, которая вывела примерно 1,65 миллиона долларов, а поддерживаемый Polychain Cascade потерял примерно 1,34 миллиона долларов в другой эксплуатации в июле.

🚨Система обнаружения эксплуатации Blockaid выявила текущую эксплуатацию на @summerfinance_.

~$6M уже выведено.

Более подробная информация в 🧵
--- Blockaid (@blockaid_) 6 июля 2026 года

Исследователи, отслеживающие атаки на децентрализованные финансы, оценили накопленные потери, превышающие 630 миллионов долларов в течение первых семи месяцев 2026 года. Их данные выявляют манипуляции с оракулами, ошибки в ценообразовании, скомпрометированные учетные данные и слабые места в валидации мостов среди наиболее распространенных векторов атак, зафиксированных в этом году.

Архитектура BondMaker ранее сталкивалась с проблемами безопасности

Для опытных разработчиков Ethereum последняя эксплуатация вновь обращает внимание на архитектуру, которая уже привлекала внимание к безопасности.

В сентябре 2020 года группа "белых хакеров" под руководством исследователя безопасности Samczsun предотвратила потерю примерно 10 миллионов долларов после выявления уязвимости в оригинальной системе BondMaker Lien Finance.

Исследователи безопасности в то время заявили, что предыдущая уязвимость позволяла злоумышленникам создавать пустые группы облигаций, которые могли быть обменены на правильно обеспеченные через функцию эквивалентности, что позволяло извлекать Ether без соответствующего обеспечения. Проблема была перехвачена до того, как злонамеренные лица смогли ее использовать, и восстановление стало одним из самых заметных скоординированных усилий белых хакеров в Ethereum.

В отличие от инцидента 2020 года, последняя эксплуатация привела к фактическим потерям после того, как злоумышленники использовали уязвимости в валидации облигаций и логике ценообразования для вывода USDC из живых ликвидных пулов. На момент публикации Lien Finance не выпустила подробный технический отчет о происшествии и не объявила, были ли заморожены или восстановлены какие-либо из украденных средств. Читать далее: Злоумышленник Drift перемещает $44M через Tornado Cash после нескольких месяцев

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.