Nawalan ng $8.5M ang Term Labs pagkatapos makakuha ng kontrol sa pamamahala ng isang attacker gamit ang minimal na kapital. Nakuha ang 2,843 $ETH at 1.68M $USDC nang walang pagkabigo sa mga pangunahing kontrata ng pagpapautang. Narito kung paano naging attack vector ang pamamahala. Ano ang Nangyari? Nakuha ng attacker ang $8.5M mula sa mga Vault ng @term_labs nang hindi ginamit ang lohika ng pangunahing kontrata. * 2,843 ETH na may halagang ~$6.87M * 1.68M USDC na isinwapal sa DAI * Walang reentrancy, manipulasyon ng oracle, o kompromiso sa admin key Ang kontrol sa pamamahala, hindi naman ang code-level exploit, ang nagbigay-daan sa pagkuha. Paano ito Nangyari? Una unang kinuha ng attacker ang voting power nang mura, at pagkatapos ay ginamit ang kontrol na ito upang gawing pagsasagawa ng kanyang sariling proposal ang pamamahala ng vault. Hakbang 1: ~0.5 ETH → 0.485 tmvETH, na nagbigay sa attacker ng kinakailangang representasyon sa pamamahala. Hakbang 2: 0.485 tmvETH → 0.485 gtmvETH, na nagbukas ng voting power. Hakbang 3: Nakakuha siya ng 100% na voting power sa 4 sa 5 USDC vaults at ~91% ng ETH Meta Vault. Hakbang 4: Isumite at sariling botohan niya ang proposal #5, na nagbigay sa kanya ng kontrol sa susunod na pagsasagawa ng vault. Anim na araw pagkatapos, inexecute ang proposal, na nagbago sa vault configuration at inilathala ang $WETH sa isang pre-deployed na masasamang estratehiya. Governance capture → Zodiac Delay disabled → add_strategy + update_debt → WETH → masasamang estratehiya → attacker Ang destinasyon ay nasa handa na, kaya pinagsama ng attack ang governance capture at strategy redirection. Ang Mas Malaking Aral sa DeFi Ipinakita ng Term Labs kung paano naging kritikal na panganib ang pamamahala kapag ang gastos sa voting power ay maraming beses na mas mababa kaysa sa mga ari-arian na pinag-uusapan nito. Ang audits ay maaaring patunayan ang lohika ng kontrata, ngunit hindi sila makakapigil sa ekonomikong mura na pagkakamit ng pamamahala. Dapat sukatin ng DeFi ang gastos sa pag-atake sa pamamahala kasama ang TVL, dahil ang pagpapalakas ng kapital ay nagsisimula sa pagpapalakas ng kontrol.
