Binili ng $951 ang $8.5 milyon at hindi ito isang hack, kundi isang boto. Isang attacker ay nag-spent ng lamang 0.5 ETH (~6.87M) + 1.68M USDC. Walang code exploit. Walang bug. Kasimple lang isang governance proposal na walang sinisikap na pigilan. Ang pag-atake ay napakasimple: · Ang mga vault ng Term Finance ay nangangailangan ng staking ng vault shares para sa voting power · Halos walang nag-stake—ang turnout ay malapit sa zero · Binili ng attacker ang 0.4852 tmvETH para sa ~0.5 ETH at agad na kinontrol ang vault · Sa pamamagitan ng supermajority, binoto niya na ilipat lahat ng pondo sa kanyang sariling address Ano ang nagiging takot dito: Hindi ito bagong pattern ng pag-atake. Ito ay mas mura bersyon ng BonkDAO exploit noong Hulyo, kung saan kailangan ng attacker ng milyon-milyon upang bumili ng sapat na boto. Dito, nagkakahalaga lang ito ng $951. Ang direkta at malinaw na tugon ng isang DeFi founder: “Tigilan ang paggamit ng vaults.” Ang industriya ay huling tinanggap na ang vault models ay struktural na nasira. “Ang malapit sa zero na pagkakaroon ng governance participation, maling incentive structure para sa curator risk, at mura at non-binding na audits ay nag-iwan ng vulnerable ang vault models sa mura at madaling pagkakaroon ng takeover.” Ang babala: Ito ay hindi isang pagkakamali. Ang automated onchain monitoring ay maaaring nakakatuklas ng anomaly, ngunit hanggang sa ayusin ng mga protocol ang inactive governance at mahinang incentive structures, magpapatuloy ang mga mura at mapupulot na governance drains. Ipinatigil nang permanente ni Term Finance ang vault product at inirevoke ang governance permissions. Nag-verify ang Yearn na ang standard vaults ay ligtas pa rin—ang exploit ay nangyari sa custom governance wrapper ni Term. $ETH ethereum:0x0bc529c00c6401aef6d220be8c6ea1667f6ad93e ethereum:0x7fc66500c84a76ad7e9c93437bfc5ac33e2ddae9 ethereum:0x1f9840a85d5af5bf1d1762f925bdaddc4201f984