Pada tanggal 24 Juli 2026, akun pemantau keamanan DeFi, DefimonAlerts, melaporkan bahwa protokol Ethereum, Lien Finance, kehilangan sekitar 542.144 USDC dari kolam perdagangan OTC GeneralizedDotc bond-to-ERC20. Pelacak intelijen on-chain mengkonfirmasi bahwa pelaku jahat dengan cepat menukar stablecoin yang dicuri menjadi sekitar 287 ETH sebelum mengalirkan dana tersebut melalui pengaduk privasi Tornado Cash untuk menyembunyikan jejaknya.
🚨 @LienFinance – Kerugian $542K (2026-07-24)
Jaringan: Ethereum
Jenis: Oracle / Manipulasi Harga
Kolam OTC bond-to-ERC20 Lien Finance terkuras. Kontrak orkestrasi yang diterapkan oleh penyerang (0xe74d17c1) mendaftarkan grup obligasi baru tanpa izin di…
— Defimon Alerts (@DefimonAlerts) 24 Juli 2026
Cara eksploitasi Lien Finance terjadi
Lien berfungsi sebagai platform terdesentralisasi di Ethereum yang memungkinkan pengguna membagi ETH menjadi aset derivatif, yaitu Solid Bond Tokens dan Liquid Bond Tokens. Dengan cara ini, pengguna bisa mencetak stablecoin dan melakukan perdagangan opsi tanpa perlu memberikan jaminan yang berlebihan atau pengelolaan pusat.
Karena siapa saja bisa menambahkan grup obligasi baru, si penyerang dengan mudah menyuplai data harga palsu ke dalam formula matematika otomatis protokol tersebut. Mereka lalu mencetak token derivatif dengan menggunakan grup tersebut dan memanipulasi perhitungan internal yang menggabungkan harga oracle dengan volatilitas pasar. Ini menghasilkan penilaian palsu yang menggelembung, yang memungkinkan si penyerang untuk langsung menguras dana penyedia likuiditas dari kolam perdagangan.
Risiko manipulasi oracle yang baru di DeFi
DeFi telah kehilangan lebih dari $630 juta di tahun 2026 akibat serangan pada alat eksternal seperti oracle dan bot. Para peretas memanipulasi harga palsu untuk memicu likuidasi yang tidak adil dan mencuri dana, seperti yang terlihat dalam eksploitasi terbaru. Tiga peretasan jembatan lintas rantai dalam satu hari menghapus $35,55 juta, melanda AFX ($24,2M), BSquared Network ($3,9M), dan VerusCoin ($7,5M) secara bersamaan. DeFi baru saja menambahkan lebih dari $10 miliar dalam Total Value Locked (TVL) sepanjang bulan Juli, menjadi bulan terbaik sejak gelombang peretasan Q1-Q2 yang lalu.
Di sisi lain, dompet Cardano, SecondFi, akan menghentikan layanannya serta Yoroi setelah terjadinya pelanggaran yang terlacak pada generasi kunci yang lemah, menguras 16,1 juta ADA (sekitar $2,6 juta) dari 374 dompet antara 21-23 Juni. Penyelidik mencatat kemungkinan adanya keterkaitan dengan kelompok Lazarus dari Korea Utara, meskipun belum ada konfirmasi resmi.
