Lien Finance a perdu environ 542 000 $ en USDC après qu'un attaquant a exploité une faille dans sa logique de jetons obligataires pour créer des actifs non pris en charge et drainer la liquidité du protocole.
Résumé
- Lien Finance a perdu environ 542 000 $ en USDC après que des attaquants ont exploité une faille dans sa logique d'échange de jetons obligataires.
- Les chercheurs en sécurité ont déclaré que l'exploit permettait de créer des jetons obligataires non pris en charge et de les échanger contre de la liquidité réelle du protocole.
- L'incident s'ajoute à une série d'exploits DeFi ce mois-ci alors que les chercheurs continuent d'examiner les faiblesses des logiques de tarification et de validation des protocoles.
La société de sécurité blockchain SlowMist a déclaré que l'exploit ciblait le mécanisme d'échange d'obligations de Lien Finance, permettant à l'attaquant de créer des jetons obligataires sans détruire les obligations d'entrée correspondantes avant de les échanger contre des USDC. La société a estimé la perte à environ 542 144,63 USDC et a identifié le portefeuille de l'attaquant comme étant 0x0d7d…1808a.
Selon SlowMist, la vulnérabilité se trouvait dans la fonction exchangeEquivalentBonds du contrat BondMakerCollateralizedEth. Son analyse a indiqué que la fonction ne vérifiait pas correctement l'intégrité des groupes d'obligations lors des échanges. Au lieu de vérifier si chaque ID d'obligation apparaissait le nombre de fois requis, le contrat ne comptait que le nombre total d'entrées d'exception. En utilisant à plusieurs reprises le même ID d'obligation d'exception dans le groupe de sortie, l'attaquant satisfaisait la logique de validation tout en omettant une autre obligation requise de l'entrée.
SlowMist a déclaré que la faille permettait à l'attaquant de créer de nouveaux BondTokens qui semblaient valides même si aucune garantie correspondante n'avait été consommée. Les actifs nouvellement créés ont ensuite été échangés contre des USDC via trois points de terminaison pré-autorisés, entraînant le retrait d'environ 542 144,63 USDC de l'adresse victime 0xa961684a3a654fb2cca8f8991226c0cefc514d80.
La société de sécurité a identifié les contrats affectés comme étant 0xda6fc5625e617bb92f5359921d43321cebc6bef0 et 0x843225cf6e663e4454732d6b551a737ac7b47de0.
L'enregistrement sans permission des obligations et la logique de tarification sous examen
Une analyse distincte en chaîne de DefimonAlerts, amplifiée plus tard par le chercheur exvulsec, a décrit l'incident comme une défaillance de la logique du protocole qui combinait l'enregistrement sans permission des obligations avec des faiblesses de tarification dans les pools d'obligations de gré à gré de Lien Finance.
Selon cette analyse, l'attaquant a d'abord déployé un contrat d'orchestration avant d'enregistrer un nouveau groupe d'obligations via le contrat BondMakerCollateralizedEth. Parce que le processus d'enregistrement ne nécessitait pas l'approbation de la gouvernance, l'attaquant aurait pu introduire un groupe d'obligations construit autour d'une fonction de paiement malveillante.
Le rapport a indiqué que les jetons obligataires fabriqués ont ensuite été acheminés vers les pools OTC GeneralizedDotc de Lien Finance. Il a souligné la fonction interne _calcRateBondToErc20 du protocole, en disant qu'elle semblait avoir attribué une valeur excessive aux obligations nouvellement créées malgré leur absence de garantie réelle.
En conséquence, l'attaquant a échangé ce que les chercheurs ont décrit comme des produits structurés effectivement non soutenus contre de la liquidité réelle en USDC détenue dans les pools du protocole. Le pool de liquidité principalement affecté était le contrat GeneralizedDotc à l'adresse 0x656e…9ef18, tandis que le portefeuille de l'attaquant a reçu le produit via la transaction d'exploitation principale.
Les chercheurs examinant l'exploit l'ont décrit comme un échec de tarification et de validation du protocole plutôt qu'une exploitation conventionnelle de contrat intelligent telle qu'une réentrance ou un contournement du contrôle d'accès. Selon l'analyse publiée, l'attaque reposait sur l'introduction d'instruments financiers synthétiques dont la valeur économique n'était pas suffisamment validée avant qu'ils ne deviennent éligibles aux swaps de gré à gré.
Les chercheurs ont comparé l'incident à l'exploit du protocole Drift d'avril, où des attaquants auraient introduit des garanties fabriquées que le protocole a acceptées à des valeurs gonflées avant que de vrais actifs ne soient retirés. Ils ont noté que les deux cas diffèrent dans leur mise en œuvre mais partagent un schéma similaire d'exploitation de la logique de valorisation plutôt que de briser les protections cryptographiques.
Le dernier incident s'ajoute à une série d'exploits DeFi
L'exploit de Lien Finance survient pendant une période active d'incidents de sécurité en finance décentralisée.
Un jour plus tôt, la plateforme d'analyse on-chain Lookonchain a qualifié le 23 juillet de « Journée des hackers » après que trois exploits distincts ont entraîné des pertes combinées d'environ 35,55 millions de dollars. Ces incidents comprenaient un exploit de 24,15 millions de dollars impliquant l'infrastructure de pont d'AFX Trade, une attaque de 7,54 millions de dollars sur le pont Verus Ethereum, et un exploit distinct de 3,86 millions de dollars affectant le réseau B².
Dans l'incident AFX, la société de sécurité blockchain Blockaid a déclaré que les attaquants avaient drainé environ 24,15 millions de dollars en USDC de l'infrastructure exploitée par le protocole plutôt que du pont natif d'Arbitrum. Offchain Labs a séparément confirmé que le pont central d'Arbitrum n'avait pas été compromis et a déclaré que l'incident impliquait une infrastructure tierce.
Pendant ce temps, Blockaid a également lié le dernier exploit du pont Verus Ethereum au même contrat de pont, au même chemin d'entrée et à la même classe de bug apparente impliquée dans la brèche de mai du projet. La société a déclaré que l'attaque de juillet a généré des paiements non adossés côté Ethereum via le processus d'importation du pont, bien qu'une explication technique complète n'ait pas encore été publiée.
Plus tôt ce mois-ci, Lazy Summer Protocol a perdu environ 6,04 millions de dollars dans une attaque de manipulation du prix des actions, tandis que Bonzo Finance sur Hedera a signalé des pertes d'environ 9 millions de dollars à la suite d'un exploit lié à un oracle. Allbridge Core a également subi une attaque de pool stable pilotée par flash-loan qui a drainé environ 1,65 million de dollars, et Cascade, soutenu par Polychain, a perdu environ 1,34 million de dollars dans un autre exploit en juillet.
Les chercheurs qui suivent les attaques de finance décentralisée ont estimé des pertes cumulées dépassant 630 millions de dollars au cours des sept premiers mois de 2026. Leurs données identifient la manipulation des oracles, les défauts de tarification, les identifiants compromis et les faiblesses de validation des ponts parmi les vecteurs d'attaque les plus courants enregistrés cette année.
L'architecture BondMaker a déjà rencontré des problèmes de sécurité
Pour les développeurs Ethereum de longue date, le dernier exploit revisite une architecture qui a déjà attiré l'attention en matière de sécurité.
En septembre 2020, un groupe de white-hat dirigé par le chercheur en sécurité Samczsun a évité la perte d'environ 10 millions de dollars après avoir identifié une faille dans le système BondMaker original de Lien Finance.
Les chercheurs en sécurité de l'époque ont déclaré que la vulnérabilité antérieure permettait aux attaquants de créer des groupes d'obligations vides qui pouvaient être échangés contre des groupes correctement garantis via une fonction d'équivalence, ce qui permettait d'extraire de l'Ether sans contrepartie. Le problème a été intercepté avant que des acteurs malveillants ne puissent l'exploiter, et la récupération est devenue l'un des efforts de sauvetage white-hat coordonnés les plus importants d'Ethereum.
Contrairement à l'incident de 2020, la dernière exploitation a entraîné une perte réelle après que les attaquants ont utilisé des faiblesses dans la validation des obligations et la logique de tarification pour retirer des USDC des pools de liquidité en direct. Au moment de la publication, Lien Finance n'avait pas publié de post-mortem technique détaillé ni annoncé si les fonds volés avaient été gelés ou récupérés.
