Lien Financeは、イーサリアムを担保とする構造化デリバティブ商品のERC-20表現である担保付きボンドトークンを発行・取引するためのイーサリアムベースのプロトコルであるが、攻撃者が同プロトコルのボンドトークン交換ロジックの脆弱性を悪用したことで、約542,000 USDCの損失を被った。この脆弱性により、サポートされていないボンドトークンの鋳造と、実際のプロトコル流動性との交換が可能となった。

この事件は、2026年7月に発生したDeFi攻撃の波における最新の事例であり、セキュリティ研究者はプロトコルのプライシングおよび検証メカニズムの弱点を引き続き発見している。

SlowMistの分析：不適切なマルチセット整合性チェック

ブロックチェーンセキュリティ企業のSlowMistは、今回の攻撃がLien Financeのボンド交換メカニズムを標的としたものであり、攻撃者が対応する入力ボンドを破棄することなくボンドトークンを作成し、USDCと交換できるようにしたと述べた。同社は損失を約542,144.63 USDCと推定し、攻撃者のウォレットを0x0d7d…1808aと特定した。

🚨SlowMist TI Alert🚨 💸 @LienFinance Loss: ~542k USD 🔍 Root Cause: The exchangeEquivalentBonds function in BondMakerCollateralizedEth lacks proper multiset integrity checks. It only counts total exception occurrences instead of verifying each bondID's appearance per group.… — SlowMist (@SlowMist_Team) July 24, 2026

SlowMistによると、脆弱性はBondMakerCollateralizedEthコントラクトのexchangeEquivalentBonds関数に存在していた。この関数は、交換時のボンドグループの整合性を適切に検証できていなかった。すべてのボンドIDが必要な回数だけ出現しているかを確認する代わりに、コントラクトは例外エントリの総数のみをカウントしていた。出力グループ内で同じ例外ボンドIDを繰り返し使用することにより、攻撃者は検証ロジックを満たしながら、入力側のもう一つの必要なボンドを省略した。

SlowMistは、この欠陥により攻撃者は対応する担保が消費されていないにもかかわらず、有効に見える新しいBondTokenを鋳造できたと述べた。新しく作成された資産は、事前承認された3つのエンドポイントを通じてUSDCと交換され、被害者アドレス0xa961684a3a654fb2cca8f8991226c0cefc514d80から約542,144.63 USDCが引き出された。

セキュリティ企業は、影響を受けたコントラクトとして0xda6fc5625e617bb92f5359921d43321cebc6bef0および0x843225cf6e663e4454732d6b551a737ac7b47de0を特定した。

パーミッションレスなボンド登録とプライシングロジックへの批判的検証

DefimonAlertsによる別のオンチェーン分析は、その後研究者exvulsecによって拡散され、今回の事件をLien FinanceのOTC（相対取引）ボンドプール内におけるパーミッションレスなボンド登録とプライシングの弱点を組み合わせたプロトコルロジックの欠陥として説明した。ガバナンス承認なしに任意のユーザーが新しいボンドグループを作成できるパーミッションレス登録は、コンポーザビリティと非中央集権性を目指すDeFiの一般的な設計哲学を反映しているが、Lien Financeの事例は、十分な経済的検証と組み合わさった場合にその開放性がいかに攻撃ベクターになり得るかを示している。

🚨 @LienFinance – Loss $542K (2026-07-24) Network: Ethereum Type: Oracle / Price Manipulation Lien Finance's GeneralizedDotc bond-to-ERC20 OTC pools were drained. An attacker-deployed orchestration contract (0xe74d17c1) permissionlessly registered new bond groups on the… — Defimon Alerts (@DefimonAlerts) July 24, 2026

この分析によると、攻撃者はまずオーケストレーションコントラクトをデプロイした後、BondMakerCollateralizedEthコントラクトを通じて新しいボンドグループを登録した。登録プロセスにガバナンス承認が不要であったため、攻撃者は悪意のあるペイオフ関数を基に構築されたボンドグループを導入できたと報告されている。

作成されたボンドトークンはその後、Lien FinanceのGeneralizedDotc OTCプールにルーティングされた。分析では、プロトコル内部の_calcRateBondToErc20関数が、新しく作成されたボンドに実際の担保裏付けがないにもかかわらず、過剰な価値を割り当てていたと指摘している。

その結果、攻撃者は研究者が「実質的にサポートされていない構造化商品」と表現したものを、プロトコルのプールに保持されている実際のUSDC流動性と交換した。主要な影響を受けた流動性プールは0x656e…9ef18のGeneralizedDotcコントラクトであり、攻撃者のウォレットは主要な攻撃取引を通じて収益を受け取った。

研究者、攻撃をプライシングおよび検証の失敗と分類

今回の攻撃を調査している研究者は、リエントランシーやアクセス制御バイパスのような従来型のスマートコントラクト攻撃ではなく、プロトコルのプライシングと検証の失敗であると特徴づけている。この攻撃は、OTCスワップの対象となる前に、経済的価値が十分に検証されていなかった合成金融商品を導入することに依存していた。この種の脆弱性は、DeFiプロトコルが成熟し、従来のコードレベルの攻撃に対して堅牢になるにつれて、より顕著になっており、攻撃者の関心はプロトコル設計に組み込まれた経済ロジックと評価前提へと移行している。

研究者らは、今回の事案を4月のDrift Protocol攻撃と比較した。同攻撃では、攻撃者が偽造された担保を導入し、プロトコルがそれを過大評価して受け入れた後、実際の資産が引き出されたと報告されている。実装の詳細は異なるが、両事案は暗号論的保護を破るのではなく、評価ロジックを悪用するという共通のパターンを共有している。

7月を通じたDeFi攻撃の連鎖

Lien Financeの攻撃は、分散型金融のセキュリティインシデントが活発な時期に発生した。

わずか1日前、オンチェーン分析プラットフォームのLookonchainは、3件の個別の攻撃による報告された損失の合計が約35.55百万ドルに達したとして、7月23日を「Hackers' Day（ハッカーズ・デー）」と表現した。これらの攻撃には、AFX Tradeのブリッジインフラに関わる24.15百万ドルの攻撃、Verus Ethereum Bridgeに対する7.54百万ドルの攻撃、およびB² Networkに影響を与えた3.86百万ドルの別の攻撃が含まれていた。

AFXの事案では、ブロックチェーンセキュリティ企業のBlockaidは、攻撃者がArbitrumのネイティブブリッジではなく、プロトコルが運営するインフラから約24.15百万ドルのUSDCを引き出したと述べた。Offchain Labsは別途、Arbitrumのコアブリッジは侵害されておらず、今回の事案はサードパーティのインフラに関連していることを確認した。

Blockaidはまた、最新のVerus Ethereum Bridge攻撃を、同プロジェクトの5月の侵害に関与したのと同じブリッジコントラクト、エントリパス、および明らかなバグクラスに関連付けた。同社は、7月の攻撃がブリッジのインポートプロセスを通じて裏付けのないイーサリアム側での支払いを生成したと述べたが、完全な技術的説明はまだ公開されていなかった。

7月上旬には、Lazy Summer Protocolが株価操作攻撃で約6.04百万ドルを失い、Hedera上のBonzo Financeはオラクル関連の攻撃に続いて約9百万ドルの損失を報告した。Allbridge Coreもフラッシュローンを用いたステーブルプール攻撃により約1.65百万ドルが引き出され、Polychainが支援するCascadeも別の攻撃で約1.34百万ドルの損失を被った。

🚨Blockaid's exploit detection system has identified an ongoing exploit on @summerfinance_ . ~$6M drained so far. More details in 🧵 — Blockaid (@blockaid_) July 6, 2026

分散型金融の攻撃を追跡している研究者は、2026年前半7ヶ月間の累積損失が630百万ドルを超えると推定している。彼らのデータは、オラクル操作、プライシングの欠陥、認証情報の侵害、およびブリッジ検証の弱点を、今年記録された最も一般的な攻撃ベクターとして特定している。

BondMakerアーキテクチャは以前からセキュリティ問題の対象

長年参加しているイーサリアム開発者にとって、今回の攻撃は以前からセキュリティ上の注目を集めてきたアーキテクチャを再び想起させるものである。

2020年9月、セキュリティ研究者のSamczsunが率いるホワイトハットグループが、Lien Financeの元のBondMakerシステムの欠陥を特定し、約10百万ドルの損失を防いだ。当時のセキュリティ研究者は、以前の脆弱性により攻撃者は空のボンドグループを作成し、等価関数を通じて適切に担保付けされたものと交換できるため、裏付けなしにEtherを抽出できる可能性があったと述べた。この問題は悪意ある者が攻撃する前に阻止され、その回復はイーサリアム史上最も注目すべき協調的なホワイトハット救助活動の一つとなった。

2020年の事案とは異なり、今回の攻撃は、攻撃者がボンド検証とプライシングロジックの弱点を悪用してライブの流動性プールからUSDCを引き出した結果、実際の損失をもたらした。発表時点で、Lien Financeは詳細な技術的事後分析を公表しておらず、盗まれた資金が凍結または回収されたかどうかも発表していなかった。