Lien Finance baru saja kehilangan 542.144,63 USDC akibat eksploit logika pada token obligasinya. Serangan yang terdeteksi dan dilaporkan oleh firma keamanan SlowMist ini menambah daftar panjang kerugian ekosistem DeFi, yang kini diestimasi menembus $630 juta sepanjang tujuh bulan pertama 2026.
Kasus ini tidak melibatkan teknik kriptografis tingkat tinggi. Para peretas mengeksploitasi kelemahan logika di kontrak pintar untuk mencetak aset kosong, lalu menukarnya jadi uang nyata.
Celah Validasi di Kontrak Pencetakan
Akar masalah eksploit ini berada di fungsi exchangeEquivalentBonds pada kontrak BondMakerCollateralizedEth. Fungsi ini memegang peran penting dalam pencetakan aset, namun gagal memverifikasi integritas grup obligasi dengan benar. Bukannya memeriksa satu per satu apakah setiap ID obligasi yang diperlukan benar-benar muncul, kontrak ini hanya menghitung total entri pengecualian.
Kelemahan penghitungan itu memberi jalan bagi penyerang untuk memanipulasi sistem. Mereka mengulang ID obligasi yang sama berkali-kali guna mencetak token BondToken baru. Token ini tampak valid di mata kontrak, meskipun tidak ada agunan nyata yang mendukung nilainya.
Token palsu ini langsung ditukar menjadi USDC lewat tiga endpoint pra-otorisasi, menguras dana milik alamat korban 0xa961…4d80. Analisis on-chain menunjukkan dompet penyerang 0x0d7d…808a bertindak sebagai penampung dana dari dua kontrak utama yang terdampak, yakni 0xda6f…ef0 dan 0x8432…de0.
Menjual Obligasi Bodong ke Pool OTC
Laporan gabungan DefimonAlerts dan peneliti exvulsec membongkar tahap kedua serangan. Eksploit ini menggabungkan pendaftaran obligasi tanpa izin tata kelola (governance) dengan kelemahan sistem penetapan harga di pool OTC Lien Finance.
Penyerang menyebarkan kontrak orkestrasi untuk mendaftarkan grup obligasi dengan fungsi pembayaran berbahaya tanpa melalui persetujuan tata kelola. Token bodong ini lalu dirutekan menuju pool likuiditas utama bernama GeneralizedDotc di alamat 0x656e…ef18.
📌 Baca JugaHacker Korea Utara Mulai Cuci $44 Juta Aset Drift Protocol - Dan Detektif Utamanya Memilih Mundur
Di dalam pool ini, fungsi internal _calcRateBondToErc20 memberi valuasi berlebih pada obligasi baru yang disetor. Hal ini memungkinkan peretas menjual aset tanpa agunan nyata itu dan membawa kabur USDC yang sah.
Pola Kelemahan Valuasi DeFi
Peneliti keamanan menyamakan eksploit ini dengan serangan terhadap Drift Protocol pada April 2026. Kedua insiden mengeksploitasi celah logika penilaian harga aset, bukan membobol kelemahan kriptografis layaknya bypass akses atau serangan reentrancy.
Lien Finance sendiri punya riwayat panjang dengan kerentanan ini. Pada September 2020, peretas topi putih pimpinan Samczsun pernah mencegah kerugian $10 juta di kontrak BondMaker asli Lien Finance. Masalah yang mereka temukan saat itu mirip, bedanya dana masih sempat diselamatkan.
Hingga tulisan ini disusun, Lien Finance belum merilis postmortem teknis kepada komunitas maupun mengumumkan tindakan pembekuan dana. Kesalahan logika dalam membaca nilai aset terbukti jadi celah paling menguntungkan bagi peretas DeFi.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
