Lien Finance, un protocole basé sur Ethereum pour l’émission et la négociation de jetons obligataires collatéralisés — des représentations ERC-20 de produits dérivés structurés adossés à de l’Ether — a perdu environ 542 000 $ en USDC après qu’un attaquant a exploité une faille dans sa logique d’échange de jetons obligataires, permettant la frappe de jetons obligataires non adossés et leur échange contre de la liquidité réelle du protocole.

L’incident est le dernier en date d’une vague d’exploits DeFi en juillet 2026, alors que les chercheurs en sécurité continuent d’identifier des faiblesses dans les mécanismes de tarification et de validation des protocoles.

Analyse de SlowMist : contrôles d’intégrité de multiensemble défaillants

La société de sécurité blockchain SlowMist a déclaré que l’exploit visait le mécanisme d’échange d’obligations de Lien Finance, permettant à l’attaquant de créer des jetons obligataires sans détruire les obligations d’entrée correspondantes avant de les échanger contre des USDC. La société a estimé la perte à environ 542,144.63 USDC et a identifié le portefeuille de l’attaquant comme 0x0d7d…1808a.

🚨SlowMist TI Alert🚨 💸 @LienFinance Loss: ~542k USD 🔍 Root Cause: The exchangeEquivalentBonds function in BondMakerCollateralizedEth lacks proper multiset integrity checks. It only counts total exception occurrences instead of verifying each bondID's appearance per group.… — SlowMist (@SlowMist_Team) July 24, 2026

Selon SlowMist, la vulnérabilité se trouvait dans la fonction exchangeEquivalentBonds du contrat BondMakerCollateralizedEth. La fonction ne vérifiait pas correctement l’intégrité des groupes d’obligations lors des échanges. Au lieu de confirmer que chaque identifiant d’obligation apparaissait le nombre de fois requis, le contrat ne comptait que le nombre total d’entrées d’exception. En utilisant à plusieurs reprises le même identifiant d’obligation d’exception dans le groupe de sortie, l’attaquant a satisfait la logique de validation tout en omettant une autre obligation requise dans l’entrée.

SlowMist a indiqué que cette faille a permis à l’attaquant de frapper de nouveaux BondTokens qui semblaient valides alors même qu’aucun collatéral correspondant n’avait été consommé. Les actifs nouvellement créés ont ensuite été échangés contre des USDC via trois points de terminaison préautorisés, entraînant le retrait d’environ 542,144.63 USDC depuis l’adresse victime 0xa961684a3a654fb2cca8f8991226c0cefc514d80.

La société de sécurité a identifié les contrats affectés comme 0xda6fc5625e617bb92f5359921d43321cebc6bef0 et 0x843225cf6e663e4454732d6b551a737ac7b47de0.

L’enregistrement d’obligations sans permission et la logique de tarification sous surveillance

Une analyse on-chain distincte de DefimonAlerts, ensuite relayée par le chercheur exvulsec, a décrit l’incident comme une défaillance de la logique du protocole combinant l’enregistrement d’obligations sans permission avec des faiblesses de tarification au sein des pools obligataires de gré à gré de Lien Finance. L’enregistrement sans permission — la capacité pour tout utilisateur de créer de nouveaux groupes d’obligations sans approbation de gouvernance — reflète une philosophie de conception courante dans la DeFi, axée sur la composabilité et la décentralisation, mais le cas de Lien Finance illustre comment cette ouverture peut devenir un vecteur d’attaque lorsqu’elle est associée à une validation économique insuffisante.

🚨 @LienFinance – Loss $542K (2026-07-24) Network: Ethereum Type: Oracle / Price Manipulation Lien Finance's GeneralizedDotc bond-to-ERC20 OTC pools were drained. An attacker-deployed orchestration contract (0xe74d17c1) permissionlessly registered new bond groups on the… — Defimon Alerts (@DefimonAlerts) July 24, 2026

Selon cette analyse, l’attaquant a d’abord déployé un contrat d’orchestration avant d’enregistrer un nouveau groupe d’obligations via le contrat BondMakerCollateralizedEth. Comme le processus d’enregistrement ne nécessitait pas d’approbation de gouvernance, l’attaquant aurait pu introduire un groupe d’obligations construit autour d’une fonction de paiement malveillante.

Les jetons obligataires créés ont ensuite été dirigés vers les pools OTC GeneralizedDotc de Lien Finance. L’analyse a pointé la fonction interne _calcRateBondToErc20 du protocole, qui semble avoir attribué une valeur excessive aux obligations nouvellement créées malgré l’absence de collatéral réel en garantie.

En conséquence, l’attaquant a échangé ce que les chercheurs ont décrit comme des produits structurés effectivement non adossés contre de la liquidité réelle en USDC détenue dans les pools du protocole. Le principal pool de liquidité affecté était le contrat GeneralizedDotc à l’adresse 0x656e…9ef18, le portefeuille de l’attaquant recevant les produits via la transaction principale de l’exploit.

Les chercheurs classent l’attaque comme une défaillance de tarification et de validation

Les chercheurs qui examinent l’exploit l’ont caractérisé comme une défaillance de tarification et de validation du protocole plutôt que comme un exploit classique de contrat intelligent, tel qu’une réentrance ou un contournement de contrôle d’accès. L’attaque reposait sur l’introduction d’instruments financiers synthétiques dont la valeur économique n’était pas suffisamment validée avant qu’ils ne deviennent éligibles aux échanges OTC. Cette catégorie de vulnérabilité est devenue plus importante à mesure que les protocoles DeFi ont gagné en maturité et se sont renforcés contre les exploits traditionnels au niveau du code, déplaçant l’attention des attaquants vers la logique économique et les hypothèses de valorisation intégrées à la conception des protocoles.

Les chercheurs ont établi des comparaisons avec l’exploit du Drift Protocol en avril, où des attaquants auraient introduit un collatéral fabriqué que le protocole a accepté à des valeurs gonflées avant le retrait d’actifs réels. Bien que les deux cas diffèrent dans leur mise en œuvre, ils partagent un schéma similaire d’exploitation de la logique de valorisation plutôt que de rupture des protections cryptographiques.

Une série d’exploits DeFi tout au long de juillet

L’exploit de Lien Finance intervient dans une période active d’incidents de sécurité dans la finance décentralisée.

La veille seulement, la plateforme d’analyse on-chain Lookonchain avait qualifié le 23 juillet de « Hackers’ Day » après que trois exploits distincts ont entraîné des pertes déclarées combinées d’environ 35,55 millions de dollars. Ces incidents comprenaient un exploit de 24,15 millions de dollars impliquant l’infrastructure de bridge d’AFX Trade, une attaque de 7,54 millions de dollars contre le Verus Ethereum Bridge, et un exploit distinct de 3,86 millions de dollars affectant B² Network.

Dans l’incident AFX, la société de sécurité blockchain Blockaid a déclaré que les attaquants avaient drainé environ 24,15 millions de dollars en USDC depuis une infrastructure exploitée par le protocole, et non depuis le bridge natif d’Arbitrum. Offchain Labs a confirmé séparément que le bridge principal d’Arbitrum n’avait pas été compromis et a indiqué que l’incident impliquait une infrastructure tierce.

Blockaid a également relié le dernier exploit du Verus Ethereum Bridge au même contrat de bridge, au même chemin d’entrée et à une catégorie apparente de bogue impliqués dans la faille du projet en mai. La société a déclaré que l’attaque de juillet avait généré des paiements non adossés côté Ethereum via le processus d’importation du bridge, bien qu’une explication technique complète n’ait pas encore été publiée.

Plus tôt en juillet, Lazy Summer Protocol a perdu environ 6,04 millions de dollars dans une attaque de manipulation du prix des parts, tandis que Bonzo Finance sur Hedera a fait état de pertes d’environ 9 millions de dollars à la suite d’un exploit lié à un oracle. Allbridge Core a également subi une attaque de pool stable alimentée par un prêt flash qui a drainé environ 1,65 million de dollars, et Cascade, soutenu par Polychain, a perdu environ 1,34 million de dollars dans un autre exploit.

🚨Blockaid's exploit detection system has identified an ongoing exploit on @summerfinance_ . ~$6M drained so far. More details in 🧵 — Blockaid (@blockaid_) July 6, 2026

Les chercheurs qui suivent les attaques contre la finance décentralisée ont estimé les pertes cumulées à plus de 630 millions de dollars au cours des sept premiers mois de 2026. Leurs données identifient la manipulation d’oracles, les failles de tarification, les identifiants compromis et les faiblesses de validation des bridges parmi les vecteurs d’attaque les plus courants enregistrés cette année.

L’architecture BondMaker avait déjà connu des problèmes de sécurité

Pour les développeurs Ethereum de longue date, le dernier exploit remet en lumière une architecture qui avait déjà attiré l’attention en matière de sécurité.

En septembre 2020, un groupe de white hats dirigé par le chercheur en sécurité Samczsun a empêché la perte d’environ 10 millions de dollars après avoir identifié une faille dans le système BondMaker original de Lien Finance. Les chercheurs en sécurité avaient alors indiqué que la vulnérabilité précédente permettait aux attaquants de créer des groupes d’obligations vides pouvant être échangés contre des groupes correctement collatéralisés via une fonction d’équivalence, rendant possible l’extraction d’Ether sans garantie correspondante. Le problème a été intercepté avant que des acteurs malveillants ne puissent l’exploiter, et la récupération est devenue l’un des efforts coordonnés de sauvetage white-hat les plus notables d’Ethereum.

Contrairement à l’incident de 2020, le dernier exploit a entraîné une perte réelle après que les attaquants ont exploité des faiblesses dans la validation des obligations et la logique de tarification pour retirer des USDC de pools de liquidité actifs. Au moment de la publication, Lien Finance n’avait pas publié de post-mortem technique détaillé ni annoncé si une partie des fonds volés avait été gelée ou récupérée.