オンチェーンのセキュリティ関係者は、分散型レンディングプロトコルTerm Financeが、攻撃者による戦略Vaultのガバナンス掌握を悪用された結果、推定850万ドルの損失を被ったと発表した。

公開された推計によれば、攻撃者は当時約2843 ETHを引き出し、その価値は687万ドルに相当したほか、168万USDCを約168万DAIに転換した。またCertiKは、総損失を約850万ドルと見積もっている。

DefiLlamaのデータによると、この損失は、攻撃前にTermのVault商品にあった総額1,245万ドルの約68%を占めており、その中には約880万ドル相当のEthereum預金のほぼ全額の流出も含まれていた。

Meta Vaultsの完全閉鎖

Term Labsは、自社のすべてのMeta Vaultsを不可逆的に閉鎖し、DAOのガバナンス権限も取り消して新たな入金を防いだ一方、ユーザー向けの出金は引き続き開放していると述べた。

同社はまた、初期調査ではTermの基盤プロトコルや直接の貸借市場は影響を受けていないことが判明したが、今回の事件の全容については引き続き調査中だと付け加えた。

どのように侵害は起きたのか？

監視サービスDefimonによると、攻撃者は流通量が限定されていたガバナンストークンの多数を低コストで入手し、その後、TermのVaultの支配権を奪うことを可能にする提案を通過させたという。Termは現時点で、攻撃者がどのように投票権を得たのか、また具体的にどのガバナンス機能が使用されたのかを確認していない。

VaultのコントラクトはYearn V3のインフラを使用しているが、Yearnは、この攻撃は専用のガバナンスラッパーに関連したものであり、侵害の経路はYearnの標準構成には当てはまらないと説明した。

対応手順とユーザーへの教訓

Termは、失われた資産の回収と影響の是正に向けて外部のセキュリティチームと協力しており、残る不足分への対応方法も検討するとしている。これは、2025年4月に起きた、オラクルの不具合に関連して約918 ETHの意図しない清算を引き起こした以前の事案に続くもので、その後Termは約556 ETHを回収し、最終損失を362 ETHまで圧縮して、被害を受けたユーザーに補償した。

今回の事件は、DeFiのリスクがスマートコントラクトだけに限られず、ガバナンス設計、投票トークンの配分、Vaultの制御メカニズムにも及ぶことを示している。ユーザーにとっては、リスク分散、ガバナンス権限の確認、そして資産が変更可能または閉鎖可能なVaultに預けられているかを理解することが、入金前の重要な要素となる。

#أمن_البلوكشين #DeFi $ETH $USDC $DAI