Lien Finance-Exploit erschöpft 542.000 US-Dollar an USDC durch einen Smart-Contract-Fehler

• Lien Finance verlor 542.000 US-Dollar, nachdem Angreifer eine fehlerhafte Anleihevalidierungslogik in seinem Smart Contract ausgenutzt hatten.
• SlowMist stellte fest, dass der Exploit es ermöglichte, unbesicherte BondTokens zu prägen, bevor diese gegen USDC-Liquidität eingetauscht wurden.
• Der Angriff verdeutlicht die anhaltenden DeFi-Risiken aufgrund von Preismängeln und schwachen Protokollvalidierungsmechanismen.

Das auf Ethereum basierende DeFi-Protokoll Lien Finance verlor etwa 542.144 US-Dollar an USDC, nachdem Angreifer einen Fehler bei der Validierung intelligenter Verträge ausgenutzt hatten. Der Exploit ermöglichte die Prägung unbesicherter Anleihen-Tokens, bevor sie gegen echte USDC-Liquidität aus den außerbörslichen Pools des Protokolls eingetauscht wurden, was einen weiteren großen Sicherheitsvorfall zu einem ohnehin schon schwierigen Monat für die dezentrale Finanzierung hinzufügte.

Der Smart-Contract-Fehler ermöglichte die Prägung von unbesicherten Bond-Token

Blockchain-Sicherheitsunternehmen SlowMistgemeldetAm 24. Juli gab er bekannt, dass der Angriff auf die Funktion „exchangeEquivalentBonds“ im BondMakerCollateralizedEth-Vertrag von Lien Finance abzielte. 

Der Analyse des Unternehmens zufolge konnte die Funktion die Integrität der Anleihengruppen während des Austauschs nicht ordnungsgemäß überprüfen, sodass Angreifer die fehlerhafte Validierungslogik ausnutzen und unbesicherte Anleihen-Token prägen konnten. 

Stattdessen zählte der Vertrag die gesamten Ausnahmevorfälle, ohne zu bestätigen, dass bei Validierungsprüfungen jede Anleihe-ID innerhalb der erforderlichen Gruppe auftrat. Folglich fügte der Angreifer wiederholt eine Ausnahme-Bond-ID ein und verbarg so eine weitere fehlende Bond-ID, während er gleichzeitig den fehlerhaften Überprüfungsprozess des Vertrags erfüllte.

Diese Schwäche ermöglichte die Schaffung neuer BondTokens, ohne die entsprechenden besicherten Anleihen zu vernichten. Anschließend tauschte der Angreifer diese nicht unterstützten Token gegen etwa 542.144,63 einUSDCüber drei vorab autorisierte Endpunkte, die mit den Liquiditätspools von Lien Finance verbunden sind.

SlowMist hat das identifiziertAngreifer-Walletals 0x0d7d…1808a, während die betroffenen Verträge BondMakerCollateralizedEth und die zugehörige Börseninfrastruktur umfassten. Die abgezogenen Gelder stammten aus vorab genehmigten USDC-Kontingenten eines Liquiditätsanbieters und nicht direkt aus den Geldbörsen der Benutzer.

🚨SlowMist TI-Alarm🚨

💸@LienFinanceVerlust: ~542.000 USD

🔍 Grundursache: Der Funktion „exchangeEquivalentBonds“ in BondMakerCollateralizedEth fehlen ordnungsgemäße Multiset-Integritätsprüfungen. Es zählt nur die Gesamtzahl der Ausnahmevorkommnisse, anstatt das Erscheinungsbild jeder BondID pro Gruppe zu überprüfen.…

— SlowMist (@SlowMist_Team)24. Juli 2026

Die Forscher stuften den Vorfall als Schwachstelle in der Protokolllogik ein und nicht als herkömmlichen Exploit, der Wiedereintritt, Kompromittierung privater Schlüssel oder Fehler bei der Zugriffskontrolle beinhaltete. Zum Zeitpunkt der Veröffentlichung hatte Lien Finance keine offizielle Stellungnahme zum Exploit, zu möglichen Wiederherstellungsbemühungen oder zu Vergütungsplänen abgegeben.

Der Vorfall verdeutlicht die wachsenden Herausforderungen für die DeFi-Sicherheit

Der Exploit hat erneut Aufmerksamkeit auf erlaubnislose Finanzprotokolle gelenkt, die auf internen Preis- und Validierungsmechanismen für komplexe digitale Vermögenswerte basieren. Sicherheitsforscher stellten fest, dass Schwachstellen in der wirtschaftlichen Validierung es Angreifern ermöglichen können, synthetische Vermögenswerte zu erstellen, die von Protokollen fälschlicherweise als legitim erkannt werden.

Der jüngste Vorfall spiegelt auch ein früheres Sicherheitsproblem im Zusammenhang mit der BondMaker-Architektur von Lien Finance wider. Im Jahr 2020 verhinderte eine White-Hat-Gruppe unter der Leitung des Sicherheitsforschers Samczsun Verluste in Höhe von rund 10 Millionen US-Dollar, nachdem sie eine ähnliche Schwachstelle bei der Ausgabe von Anleihen und der Äquivalenzvalidierung entdeckt hatte, bevor böswillige Akteure sie ausnutzen konnten.

Unterdessen ergänzt der Lien-Finance-Exploit eine Reihe dezentraler Finanzangriffe, die im Laufe des Julis verzeichnet wurden. Die jüngsten Vorfälle betrafen AFX Trade,Verus Ethereum Bridge, B² Network, Allbridge Core, Bonzo Finance und Lazy Summer Protocol durch verschiedene Preis-, Bridge- und Oracle-bezogene Schwachstellen.

Branchenschätzungen zufolgeDeFi-Exploitshaben in den ersten sieben Monaten des Jahres 2026 die Grenze von 630 Millionen US-Dollar überschritten. Die wachsenden Verluste verdeutlichen weiterhin, dass Preislogik, Validierungsschwächen und Protokolldesign trotz umfassenderer Verbesserungen bei der Sicherheit intelligenter Verträge weiterhin wichtige Angriffsvektoren bleiben.

Quelle: Live Bitcoin News