Kinumpirma ng Term Labs noong Agosto 23 na naapektuhan ng isang pagsasamantala sa pamamahala ang mga vault nito sa pagpapautang. Tinantya ng mga kumpanya ng seguridad ng blockchain na nakuha ng umaatake ang humigit-kumulang $8.5 milyon sa cryptocurrency.

Sinabi ng protocol na iniimbestigahan nito at maglalabas ng karagdagang impormasyon pagkatapos. Hindi pa nito kinukumpirma ang tantiya ng pagkalugi, hindi pa nito natutukoy ang mga naapektuhang vault o ipinapaliwanag kung paano nakakuha ng kontrol sa pamamahala ang umaatake.

Kinumpirma ng Term Labs ang pagsasamantala sa pamamahala ng vault nito

"Alam namin ang isang pagsasamantala sa pamamahala na nakaaapekto sa mga vault ng Term," sabi ng Term. "Magbabahagi kami ng higit pang detalye kapag ito ay masusing naiimbestigahan."

Hindi sinabi ng pahayag kung ipinahinto ng Term Labs ang mga deposito, pag-withdraw o mga function ng pamamahala. Hindi rin nito tinukoy ang anumang kontrata na dapat iwasan ng mga gumagamit. Walang panukala sa pagbawi, pangako sa pagbabayad o deadline para sa isang postmortem ang inaanunsyo nang ihanda ang ulat na ito.

Ang Term Labs ay nagpapatakbo ng isang desentralisadong sistema ng pagpapautang na nakasentro sa paghiram at pagpapautang na may nakapirming rate. Ang mga strategy vault nito ay naglalaan ng mga naidepositong pondo sa pamamagitan ng mga nakaprogramang kontrata. Hindi pa sinasabi ng protocol kung nalantad ang bawat vault o kung ang insidente ay nakaapekto lamang sa mga tiyak na deployments.

Tinantya ng mga kumpanya ng seguridad ang pagkalugi sa $8.5 milyon

Kinlasipika ng CertiK ang insidente bilang isang pag-atake sa pamamahala at tinantya ang pagkalugi sa humigit-kumulang $8.5 milyon. Ang halagang iyon ay nananatiling isang panlabas na tantiya sa halip na isang figura na kinumpirma ng Term Labs.

Iniulat ng PeckShield na nilimas ng sumasamantala ang humigit-kumulang 2,843 ETH, na nagkakahalaga ng humigit-kumulang $6.87 milyon sa panahong iyon, kasama ang 1.68 milyong USDC. Ayon sa pagsubaybay nito, ipinagpalit ng umaatake ang USDC para sa humigit-kumulang 1.68 milyong DAI.

Ang mga halagang iyon ay malawakang sumusuporta sa tantiya ng CertiK. Gayunpaman, ang mga pagpapahalaga ay maaaring magbago sa mga presyo ng asset, mga bayarin sa transaksyon at kasunod na mga paglilipat. Kakailanganin ng isang kumpletong pagtatala ang Term Labs upang matukoy ang bawat naapektuhang vault at i-rekonsilya ang mga nauugnay na transaksyon.

Ang mga natuklasan ay kahawig din ng iba pang kamakailang pag-atake sa mga pondo na kontrolado ng protocol. Sa kaugnay na saklaw, isang Summer.fi vault exploit ay naiulat na naglimas ng humigit-kumulang $6 milyon. Ang kasong iyon ay nagsasangkot ng iba't ibang kontrata at hindi nito itinatatag kung paano nangyari ang insidente ng Term Labs.

Hindi pa nakukumpirma ang mekanismo ng pamamahala

Inilarawan ng Term Labs ang kaganapan bilang isang pagsasamantala sa pamamahala, ngunit hindi pa naglalabas ang protocol o ang nabanggit na mga kumpanya ng seguridad ng isang buong paliwanag sa antas ng transaksyon. Hindi pa malinaw kung nakalap ng umaatake ang kapangyarihan sa pagboto, inabuso ang isang umiiral na pahintulot o pinagsamantalahan ang isang kahinaan sa proseso ng panukala.

Ang mga pag-atake sa pamamahala ay maaaring magpahintulot sa isang entity na gamitin ang mga awtorisadong pagboto o mga function ng pangangasiwa upang ilipat ang mga asset ng protocol. Tulad ng naunang ipinaliwanag ng crypto.news pagkatapos ng pag-atake sa pamamahala ng BonkDAO, ang mahina na mga patakaran sa quorum, nakakonsentrang kapangyarihan sa pagboto at kakulangan ng pagkaantala sa pagpapatupad ay maaaring malantad ang mga kontroladong pondo. Ang mga panganib na iyon ay pangkalahatang halimbawa, hindi mga nakumpirmang sanhi sa kaso ng Term Labs.

Iniulat din ng PeckShield na ang address ng umaatake ay unang nakatanggap ng 2 ETH mula sa Tornado Cash. Ikinukubli ng paglilipat ang mas maagang pinagmulan ng pondo ng wallet, ngunit hindi nito tinutukoy ang umaatake o pinapatunayan kung sino ang kumontrol sa address.

Ang koneksyon sa Tornado Cash ay dapat samakatuwid ituring bilang isang on-chain na bakas ng pondo, hindi isang paghahanap ng atribusyon. Kakailanganin ng mga imbestigador ang mga record ng exchange, clustering ng wallet o iba pang ebidensya upang ikonekta ang address sa isang tao o organisasyon.

Term Labs ay may utang pa rin sa mga gumagamit ng timeline ng pagbawi

Ang susunod na na-verify na update ay dapat magtatag kung aling mga vault at kontrata ang naapektuhan. Kailangan din ng mga gumagamit ng kumpirmasyon kung ang mga deposito, pag-withdraw, pagboto sa pamamahala at pagpapatupad ng diskarte ay nananatiling aktibo.

Ang isang teknikal na ulat ay karaniwang magdodokumento ng mga mapanlinlang na transaksyon, landas ng kontrol at mga pananggalang na nabigo. Hindi pa inaanunsyo ng Term Labs kung kailan nito ilalathala ang materyal na iyon. Hindi rin nito isiniwalat kung nakipag-ugnayan ito sa umaatake, tagapagpatupad ng batas, mga issuer ng stablecoin o mga sentralisadong exchange.

Ang anumang plano sa pagbabayad ay mangangailangan ng isang nakumpirmang kabuuang pagkalugi at isang malinaw na pagtatasa ng mga nababawi na asset. Tulad ng iniulat ng crypto.news kasunod ng isa pang paglabag sa DeFi, ang plano ng pagbawi ng Resupply ay gumamit ng mga bayad sa treasury, mga pondo ng insurance at pag-apruba ng pamamahala. Hindi pa nagmumungkahi ang Term Labs ng maiihambing na proseso.

Hanggang matapos ang imbestigasyon, ang $8.5 milyong figura at naiulat na balanse ng asset ay nananatiling mga tantiya ng pananaliksik sa seguridad. Ang tanging nakumpirmang pagbubunyag ng protocol ay naapektuhan ng isang pagsasamantala sa pamamahala ang mga vault ng Term.