Платформа кредитования ethereum Term Finance потеряла примерно 8,5 миллиона долларов после того, как злоумышленник, по всей видимости, приобрел достаточное количество голосов управления для получения контроля над некоторыми своими кредитными вaults, сообщил CoinDesk.
Как разворачивался эксплойт
Злоумышленник удалил примерно 2 843 эфира, стоимость которого на тот момент составляла около 6,9 млн долларов США, и 1,68 млн USDC, опустошив около 68% активов, хранящихся в Meta Vaults Term. До атаки в хранилищах находилось около 12,45 млн долларов США, согласно данным DefiLlama, и почти весь внесенный эфир был похищен. Meta Vaults располагались поверх более широкой кредитной платформы Term, которую компания заявила, что не пострадала от инцидента.
Слабое место в управлении
Необычным элементом является способ получения доступа. Сервис мониторинга в блокчейне Defimon сообщил, что злоумышленник дешево приобрел большинство редко распространенных токенов управления проекта, а затем якобы использовал эту голосующую силу для принятия предложений, давших ему контроль над хранилищами. Term не подтвердил, как был получен контроль большинства или какие именно функции управления были использованы. Инцидент находится в серой зоне: хотя транзакции были действительны в соответствии с кодом протокола, органы власти все еще могут рассматривать такое поведение как эксплуатацию или неправомерное присвоение, а не как обычное управление.
Ответ и перспективы срока
Срок полностью закрыл продукт, заблокировал новые депозиты и отозвал права управления, позволявшие вносить изменения в хранилища. Команда заявила, что её более широкие рынки кредитования и заимствования не затронуты, и она сотрудничает с внешними компаниями по кибербезопасности для восстановления активов, а также будет изучать способы покрытия оставшихся убытков.
Yearn, чья инфраструктура V3 лежала в основе волтов, заявила, что эксплуатация включала пользовательский слой управления, добавленный вокруг её технологии, и не применялась к стандартным волтам Yearn. Этот инцидент следует за ошибкой оракула в апреле 2025 года, вызвавшей около 918 ETH непреднамеренных ликвидаций, которые Term впоследствии в значительной степени восстановил после возмещения ущерба затронутым пользователям. Спустя чуть более года управление само стало слабым звеном: активы, контролируемые голосованием, могут стоить намного больше, чем токены, необходимые для победы в этом голосовании.
Для контекста о том, как работают стратегии доходности DeFi, см. наш ранний разъяснитель.