Platform pinjaman ethereum Term Finance kehilangan dana diperkirakan $8,5 juta setelah penyerang tampaknya memperoleh cukup kekuatan voting tata kelola untuk mengambil alih beberapa vault pinjaman miliknya, CoinDesk melaporkan.
Bagaimana eksploitasi terjadi
Penyerang menghapus sekitar 2.843 ether, senilai sekitar $6,9 juta pada saat itu, dan 1,68 juta USDC, menguras sekitar 68% aset yang disimpan di Meta Vaults Term. Vault tersebut menyimpan sekitar $12,45 juta sebelum serangan, menurut data DefiLlama, dan hampir seluruh ether yang disetorkan ke produk tersebut diambil. Meta Vaults berada di atas platform peminjaman yang lebih luas milik Term, yang menurut perusahaan tidak terdampak oleh insiden ini.
Titik lemah tata kelola
Unsur yang tidak biasa adalah bagaimana akses diperoleh. Layanan pemantauan onchain Defimon mengatakan bahwa penyerang secara murah memperoleh sebagian besar token tata kelola proyek yang sedikit dimiliki, lalu diduga menggunakan kekuatan suara itu untuk mengesahkan usulan yang memberinya kendali atas brankas. Term belum mengonfirmasi bagaimana kendali mayoritas diperoleh atau fungsi tata kelola mana yang tepatnya digunakan. Insiden ini berada di area abu-abu: meskipun transaksi-transaksi tersebut valid menurut kode protokol, otoritas masih dapat memperlakukan perilaku tersebut sebagai eksploitasi atau penyalahgunaan, bukan tata kelola biasa.
Respons dan prospek jangka waktu
Jangka waktu telah menutup produk secara permanen, memblokir setoran baru, dan mencabut izin tata kelola yang memungkinkan perubahan pada vault. Tim mengatakan pasar pinjaman dan peminjaman yang lebih luas tidak terdampak, dan sedang bekerja sama dengan perusahaan keamanan pihak luar untuk memulihkan aset, serta akan mengeksplorasi cara untuk menutupi kerugian yang tersisa.
Yearn, yang infrastruktur V3-nya menjadi dasar vault, mengatakan eksploitasi tersebut melibatkan lapisan tata kelola khusus yang ditambahkan di sekitar teknologinya dan tidak berlaku untuk vault Yearn standar. Kejadian ini juga mengikuti kesalahan oracle pada April 2025 yang memicu likuidasi tidak disengaja sebesar sekitar 918 ETH, yang kemudian sebagian besar dipulihkan oleh Term setelah mengganti rugi pengguna yang terdampak. Sedikit lebih dari satu tahun kemudian, tata kelola itu sendiri telah menjadi titik lemah, di mana aset yang dikendalikan oleh suara bisa bernilai jauh lebih besar daripada token yang dibutuhkan untuk memenangkan suara tersebut.
Untuk konteks tentang bagaimana strategi yield DeFi bekerja, lihat penjelasan sebelumnya kami.