Lien Finance遭黑客攻击，约542,144.63 USDC被盗

Lien Finance 在攻击者利用协议债券兑换逻辑中的漏洞后损失约 542,144.63 USDC，随后攻击者又通过其 GeneralizedDotc 场外交易资金池，将缺乏支持的债券代币兑换为真实流动性。慢雾表示，BondMakerCollateralizedEth 合约中的 exchangeEquivalentBonds 函数未能执行恰当的债券组完整性检查，导致攻击者可以重复使用同一异常债券 ID，在输入集合中省略另一项必需债券，并在未消耗匹配抵押品的情况下铸造资产。该公司将攻击者钱包识别为 0x0d7d…1808a，将受害地址识别为 0xa961684a3a654fb2cca8f8991226c0cefc514d80，并估算损失约为 542,144.63 USDC。 DefimonAlerts 的独立分析随后经 exvulsec 扩散后指出，此次事件属于更广泛的协议逻辑失效，还涉及无许可债券注册以及 Lien Finance 债券兑 ERC20 场外交易池中的内部定价薄弱。研究人员表示，攻击者部署了一个编排合约，通过 BondMakerCollateralizedEth 注册了一个恶意债券组，并将生成的债券代币导入 GeneralizedDotc 资金池；其中 _calcRateBondToErc20 函数似乎对缺乏真实支撑的资产赋予了过高价值。此次攻击被定性为定价与验证失效，而非传统的重入或访问控制类漏洞利用。 这起事件进一步加剧了 7 月去中心化金融（DeFi）领域一系列安全事件的影响，其中包括针对 AFX Trade、Verus Ethereum Bridge、B² Network、Lazy Summer Protocol、Bonzo Finance、Allbridge Core 和 Cascade 的攻击。追踪该领域的研究人员估算，2026 年前七个月去中心化金融（DeFi）累计损失已超过 $630 million。此次事件也再次引发外界对 Lien Finance BondMaker 设计的担忧，此前该系统曾在 2020 年因原始架构中另一处等价性漏洞而被白帽团队紧急救援。