Term Labsは、攻撃者が最小限の資本でガバナンス制御を奪取した結果、850万ドルを失った。 2,843枚の$ETHと168万ドルの$USDCが、元となる貸付契約を侵害することなく引き出された。 以下に、ガバナンスが攻撃ベクターとなった経緯を示す。 何が起きたのか？ 攻撃者は、元となる契約ロジックを悪用することなく、@term_labsのバウトから850万ドルを引き出した。 * 約687万ドル相当の2,843 ETH * 168万USDCがDAIに交換 * リエントラncy、オラクル操作、管理者キーの侵害は一切発生していない 引き出しを可能にしたのはコードレベルの脆弱性ではなく、ガバナンス制御だった。 どのようにして起きたのか？ 攻撃者はまず、安価に投票権を獲得し、その制御力を用いてバウトのガバナンスに自身の提案を実行させた。 ステップ1：約0.5 ETH → 0.485 tmvETHを取得し、攻撃者は必要なガバナンス代表権を獲得。 ステップ2：0.485 tmvETH → 0.485 gtmvETHに変換し、投票権を解放。 ステップ3：USDCバウト5つ中4つで100%の投票権、ETHメタバウトでは約91%の投票権を獲得。 ステップ4：提案#5を提出し、自身で賛成投票を行い、バウトの次回実行を制御。 6日後、バウトが引き出された 6日後、提案が実行され、バウト設定が変更され、$WETHが事前に配置された悪意のある戦略へと転送された。 ガバナンス奪取 → Zodiac Delay無効化 → add_strategy + update_debt → WETH → 悪意のある戦略 → 攻撃者 目的先はすでに準備されていたため、この攻撃はガバナンス奪取と戦略転送を組み合わせたものだった。 より大きなDeFiの教訓 Term Labsは、投票権のコストがその制御する資産額に比べて極めて低い場合、ガバナンスが重大なセキュリティリスクとなることを示している。 監査は契約ロジックの妥当性を検証できるが、経済的に安価なガバナンス奪取を防ぐことはできない。 DeFiでは、TVLとともにガバナンス攻撃コストを評価すべきである。資本の安全を確保するには、まず制御権を守ることが必要だからだ。