Lien Finance, ein Ethereum-basiertes Protokoll zur Ausgabe und zum Handel besicherter Bond-Token — ERC-20-Darstellungen strukturierter Derivateprodukte, die durch Ether gedeckt sind — hat etwa $542,000 in USDC verloren, nachdem ein Angreifer eine Schwachstelle in der Austauschlogik seiner Bond-Token ausgenutzt hatte. Dadurch konnten nicht gedeckte Bond-Token geprägt und gegen echte Protokollliquidität getauscht werden.

Der Vorfall ist der jüngste in einer Welle von DeFi-Exploits im Juli 2026, während Sicherheitsforscher weiterhin Schwächen in Preisbildungs- und Validierungsmechanismen von Protokollen identifizieren.

SlowMist-Analyse: Fehlerhafte Integritätsprüfungen für Multisets

Die Blockchain-Sicherheitsfirma SlowMist erklärte, der Exploit habe den Bond-Austauschmechanismus von Lien Finance ins Visier genommen. Dadurch konnte der Angreifer Bond-Token erstellen, ohne die entsprechenden Eingabe-Bonds zu zerstören, bevor er sie gegen USDC eintauschte. Die Firma schätzte den Verlust auf rund 542,144.63 USDC und identifizierte die Angreifer-Wallet als 0x0d7d…1808a.

🚨SlowMist TI Alert🚨 💸 @LienFinance Loss: ~542k USD 🔍 Root Cause: The exchangeEquivalentBonds function in BondMakerCollateralizedEth lacks proper multiset integrity checks. It only counts total exception occurrences instead of verifying each bondID's appearance per group.… — SlowMist (@SlowMist_Team) July 24, 2026

Laut SlowMist lag die Schwachstelle in der Funktion exchangeEquivalentBonds des Vertrags BondMakerCollateralizedEth. Die Funktion prüfte die Integrität von Bond-Gruppen während des Austauschs nicht ordnungsgemäß. Statt zu bestätigen, dass jede Bond-ID die erforderliche Anzahl von Malen vorkam, zählte der Vertrag nur die Gesamtzahl der Ausnahme-Einträge. Indem der Angreifer dieselbe Ausnahme-Bond-ID in der Ausgabegruppe wiederholt verwendete, erfüllte er die Validierungslogik, während ein weiterer erforderlicher Bond aus der Eingabe weggelassen wurde.

SlowMist zufolge ermöglichte dieser Fehler dem Angreifer, neue BondTokens zu prägen, die gültig wirkten, obwohl keine entsprechende Sicherheit verbraucht worden war. Die neu erstellten Vermögenswerte wurden anschließend über drei vorab autorisierte Endpunkte gegen USDC getauscht, was zur Abhebung von etwa 542,144.63 USDC von der Opferadresse 0xa961684a3a654fb2cca8f8991226c0cefc514d80 führte.

Die Sicherheitsfirma identifizierte die betroffenen Verträge als 0xda6fc5625e617bb92f5359921d43321cebc6bef0 und 0x843225cf6e663e4454732d6b551a737ac7b47de0.

Erlaubnisfreie Bond-Registrierung und Preislogik unter Beobachtung

Eine separate On-Chain-Analyse von DefimonAlerts, die später vom Forscher exvulsec weiterverbreitet wurde, beschrieb den Vorfall als Fehler in der Protokolllogik, der erlaubnisfreie Bond-Registrierung mit Schwächen in der Preisbildung innerhalb der außerbörslichen Bond-Pools von Lien Finance verband. Die erlaubnisfreie Registrierung — also die Möglichkeit für jeden Nutzer, neue Bond-Gruppen ohne Governance-Genehmigung zu erstellen — entspricht einer verbreiteten DeFi-Designphilosophie, die auf Komponierbarkeit und Dezentralisierung abzielt. Der Fall Lien Finance zeigt jedoch, wie diese Offenheit in Kombination mit unzureichender wirtschaftlicher Validierung zu einem Angriffsvektor werden kann.

🚨 @LienFinance – Loss $542K (2026-07-24) Network: Ethereum Type: Oracle / Price Manipulation Lien Finance's GeneralizedDotc bond-to-ERC20 OTC pools were drained. An attacker-deployed orchestration contract (0xe74d17c1) permissionlessly registered new bond groups on the… — Defimon Alerts (@DefimonAlerts) July 24, 2026

Laut dieser Analyse setzte der Angreifer zunächst einen Orchestrierungsvertrag ein, bevor er über den Vertrag BondMakerCollateralizedEth eine neue Bond-Gruppe registrierte. Da der Registrierungsprozess keine Governance-Genehmigung erforderte, konnte der Angreifer Berichten zufolge eine Bond-Gruppe einführen, die auf einer bösartigen Auszahlungsfunktion basierte.

Die präparierten Bond-Token wurden anschließend in die GeneralizedDotc-OTC-Pools von Lien Finance geleitet. Die Analyse verwies auf die interne Funktion _calcRateBondToErc20 des Protokolls, die den neu erstellten Bonds offenbar einen überhöhten Wert zuwies, obwohl sie nicht durch echte Sicherheiten gedeckt waren.

In der Folge tauschte der Angreifer das, was Forscher als faktisch nicht gedeckte strukturierte Produkte beschrieben, gegen echte USDC-Liquidität in den Pools des Protokolls. Der hauptsächlich betroffene Liquiditätspool war der GeneralizedDotc-Vertrag unter 0x656e…9ef18; die Angreifer-Wallet erhielt die Erlöse über die zentrale Exploit-Transaktion.

Forscher stufen Angriff als Preisbildungs- und Validierungsfehler ein

Forscher, die den Exploit untersuchen, haben ihn als Preisbildungs- und Validierungsfehler des Protokolls charakterisiert und nicht als herkömmlichen Smart-Contract-Exploit wie Reentrancy oder eine Umgehung der Zugriffskontrolle. Der Angriff beruhte darauf, synthetische Finanzinstrumente einzuführen, deren wirtschaftlicher Wert nicht ausreichend validiert wurde, bevor sie für OTC-Swaps zugelassen wurden. Diese Schwachstellenklasse ist deutlicher in den Vordergrund gerückt, da DeFi-Protokolle gereift sind und sich gegen klassische Exploits auf Code-Ebene besser abgesichert haben. Dadurch verlagert sich der Fokus von Angreifern stärker auf wirtschaftliche Logik und Bewertungsannahmen, die im Protokolldesign verankert sind.

Die Forscher zogen Vergleiche zum Drift-Protocol-Exploit im April, bei dem Angreifer Berichten zufolge fingierte Sicherheiten einbrachten, die das Protokoll zu überhöhten Werten akzeptierte, bevor echte Vermögenswerte abgezogen wurden. Auch wenn sich die beiden Fälle in der Umsetzung unterscheiden, weisen beide ein ähnliches Muster auf: die Ausnutzung von Bewertungslogik statt das Brechen kryptografischer Schutzmechanismen.

Serie von DeFi-Exploits im Juli

Der Exploit bei Lien Finance ereignet sich in einer aktiven Phase von Sicherheitsvorfällen im Bereich dezentraler Finanzen.

Nur einen Tag zuvor bezeichnete die On-Chain-Analyseplattform Lookonchain den 23. Juli als „Hackers' Day“, nachdem drei separate Exploits zusammen gemeldete Verluste von etwa $35.55 Millionen verursacht hatten. Zu diesen Vorfällen gehörten ein Exploit über $24.15 Millionen im Zusammenhang mit der Bridge-Infrastruktur von AFX Trade, ein Angriff über $7.54 Millionen auf die Verus Ethereum Bridge sowie ein separater Exploit über $3.86 Millionen bei B² Network.

Im AFX-Vorfall erklärte die Blockchain-Sicherheitsfirma Blockaid, Angreifer hätten etwa $24.15 Millionen in USDC aus Infrastruktur abgezogen, die vom Protokoll betrieben wurde, nicht aus der nativen Bridge von Arbitrum. Offchain Labs bestätigte separat, dass die Kern-Bridge von Arbitrum nicht kompromittiert wurde, und erklärte, der Vorfall habe Drittanbieter-Infrastruktur betroffen.

Blockaid brachte auch den jüngsten Exploit der Verus Ethereum Bridge mit demselben Bridge-Vertrag, demselben Einstiegspfad und einer offenbar ähnlichen Fehlerklasse in Verbindung, die bereits beim Mai-Vorfall des Projekts beteiligt waren. Die Firma erklärte, der Angriff im Juli habe nicht gedeckte Auszahlungen auf Ethereum-Seite über den Importprozess der Bridge erzeugt, auch wenn eine vollständige technische Erklärung noch nicht veröffentlicht worden war.

Früher im Juli verlor Lazy Summer Protocol etwa $6.04 Millionen bei einem Angriff zur Manipulation des Anteilspreises, während Bonzo Finance auf Hedera nach einem oraclebezogenen Exploit Verluste von rund $9 Millionen meldete. Allbridge Core erlitt zudem einen durch Flash Loans getriebenen Angriff auf einen Stable-Pool, bei dem rund $1.65 Millionen abgezogen wurden, und das von Polychain unterstützte Cascade verlor bei einem weiteren Exploit etwa $1.34 Millionen.

🚨Blockaid's exploit detection system has identified an ongoing exploit on @summerfinance_ . ~$6M drained so far. More details in 🧵 — Blockaid (@blockaid_) July 6, 2026

Forscher, die Angriffe auf dezentrale Finanzprotokolle verfolgen, schätzen die kumulierten Verluste in den ersten sieben Monaten des Jahres 2026 auf mehr als $630 Millionen. Ihre Daten nennen Oracle-Manipulation, Preisbildungsfehler, kompromittierte Zugangsdaten und Schwächen bei der Bridge-Validierung als einige der häufigsten in diesem Jahr verzeichneten Angriffsvektoren.

BondMaker-Architektur hatte bereits zuvor Sicherheitsprobleme

Für langjährige Ethereum-Entwickler rückt der jüngste Exploit erneut eine Architektur in den Fokus, die bereits in der Vergangenheit sicherheitsrelevant war.

Im September 2020 verhinderte eine White-Hat-Gruppe unter Leitung des Sicherheitsforschers Samczsun den Verlust von rund $10 Millionen, nachdem sie eine Schwachstelle im ursprünglichen BondMaker-System von Lien Finance entdeckt hatte. Sicherheitsforscher erklärten damals, die frühere Schwachstelle habe es Angreifern ermöglicht, leere Bond-Gruppen zu erstellen, die über eine Äquivalenzfunktion gegen ordnungsgemäß besicherte Gruppen getauscht werden konnten. Dadurch wäre es möglich gewesen, Ether ohne entsprechende Deckung abzuziehen. Das Problem wurde abgefangen, bevor böswillige Akteure es ausnutzen konnten, und die Rückgewinnung wurde zu einer der bekanntesten koordinierten White-Hat-Rettungsaktionen auf Ethereum.

Anders als beim Vorfall von 2020 führte der jüngste Exploit zu einem tatsächlichen Verlust, nachdem Angreifer Schwächen in der Bond-Validierung und Preislogik ausnutzten, um USDC aus aktiven Liquiditätspools abzuziehen. Zum Zeitpunkt der Veröffentlichung hatte Lien Finance weder einen detaillierten technischen Postmortem-Bericht veröffentlicht noch bekannt gegeben, ob gestohlene Gelder eingefroren oder zurückerlangt wurden.