Lien Financeでハッキング被害、スマートコントラクトの欠陥で約54万2144.63 USDC流出

Lien Financeは、攻撃者がプロトコルの債券交換ロジックの欠陥を悪用し、その後、裏付けのない債券トークンをGeneralizedDotcのOTCプールを通じて実際の流動性に変換したことで、約54万2144.63 USDCを失った。SlowMistによると、BondMakerCollateralizedEthコントラクト内のexchangeEquivalentBonds関数は、債券グループの整合性を適切に検証していなかった。このため攻撃者は、同一の例外bond IDを再利用し、入力セットから別の必須債券を省略したまま、対応する担保を消費せずに資産を発行できたという。同社は攻撃者のウォレットを0x0d7d…1808a、被害アドレスを0xa961684a3a654fb2cca8f8991226c0cefc514d80と特定し、損失額を約54万2144.63 USDCと見積もった。 その後、exvulsecが拡散したDefimonAlertsの別分析では、今回の事案は、許可不要の債券登録とLien Financeの債券対ERC20 OTCプールにおける脆弱な内部価格設定も絡んだ、より広範なプロトコルロジックの破綻だとされた。研究者によると、攻撃者はオーケストレーション用コントラクトをデプロイし、BondMakerCollateralizedEthを通じて悪意ある債券グループを登録したうえで、生成された債券トークンをGeneralizedDotcプールへ流した。そこで_calcRateBondToErc20関数が、実質的な裏付けを欠く資産に過大な価値を付与したとみられる。今回の攻撃は、典型的なリエントランシーやアクセス制御の不備を突くエクスプロイトではなく、価格設定と検証の失敗と位置付けられている。 今回の事案は、7月に相次いだDeFi（分散型金融）の侵害事例に新たに加わるものとなった。AFX Trade、Verus Ethereum Bridge、B² Network、Lazy Summer Protocol、Bonzo Finance、Allbridge Core、Cascadeへの攻撃が含まれる。業界を追跡する研究者らは、2026年最初の7カ月間におけるDeFi（分散型金融）の累積損失額が6億3000万ドル超に達したと推計している。今回の件はまた、2020年に元のシステムで別の等価性の欠陥を巡るホワイトハット救済が行われた後、Lien FinanceのBondMaker設計に対する懸念を再燃させている。