Term Labs a confirmé le 23 août qu'un exploit de gouvernance avait affecté ses coffres de prêt. Les entreprises de sécurité blockchain ont estimé que l'attaquant avait extrait environ 8,5 millions de dollars en cryptomonnaie.
Le protocole a déclaré qu'il menait une enquête et qu'il publierait des informations supplémentaires par la suite. Il n'a pas confirmé l'estimation des pertes, identifié les coffres affectés ni expliqué comment l'attaquant avait obtenu le contrôle de la gouvernance.
« Nous sommes au courant d'un exploit de gouvernance ayant un impact sur les coffres Term », a déclaré Term. « Nous partagerons plus de détails une fois l'enquête approfondie. »
La déclaration n'a pas précisé si Term Labs avait mis en pause les dépôts, les retraits ou les fonctions de gouvernance. Elle n'a pas non plus identifié de contrats que les utilisateurs devraient éviter. Aucune proposition de récupération, aucun engagement de remboursement ni aucune date limite pour un post-mortem n'avaient été annoncés au moment de la rédaction de ce rapport.
Term Labs exploite un système de prêt décentralisé basé sur l'emprunt et le prêt à taux fixe. Ses coffres de stratégie allouent les fonds déposés via des contrats programmés. Le protocole n'a pas précisé si chaque coffre était exposé ou si l'incident n'avait affecté que des déploiements spécifiques.
CertiK a classé l'incident comme une attaque de gouvernance et a estimé les pertes à environ 8,5 millions de dollars. Ce montant reste une estimation externe plutôt qu'un chiffre confirmé par Term Labs.
PeckShield a signalé que l'exploiteur avait siphonné environ 2 843 ETH, évalués à environ 6,87 millions de dollars à l'époque, plus 1,68 million d'USDC. Selon son traçage, l'attaquant a ensuite échangé l'USDC contre environ 1,68 million de DAI.
Ces montants soutiennent largement l'estimation de CertiK. Cependant, les valorisations peuvent changer avec les prix des actifs, les frais de transaction et les transferts ultérieurs. Un bilan complet exigera que Term Labs identifie chaque coffre affecté et concilie les transactions pertinentes.
Les conclusions ressemblent également à d'autres attaques récentes contre des fonds contrôlés par des protocoles. Dans une couverture connexe, un exploit du coffre Summer.fi aurait drainé environ 6 millions de dollars. Ce cas impliquait des contrats différents et n'établit pas comment l'incident de Term Labs s'est produit.
Term Labs a décrit l'événement comme un exploit de gouvernance, mais ni le protocole ni les entreprises de sécurité citées n'ont publié d'explication complète au niveau des transactions. Il reste incertain si l'attaquant a accumulé du pouvoir de vote, abusé d'une permission existante ou exploité une faiblesse dans le processus de proposition.
Les attaques de gouvernance peuvent permettre à une entité d'utiliser des fonctions de vote ou administratives autorisées pour transférer les actifs du protocole. Comme crypto.news l'a précédemment expliqué après l'attaque de gouvernance de BonkDAO, des règles de quorum faibles, un pouvoir de vote concentré et des délais d'exécution manquants peuvent exposer les fonds contrôlés. Ces risques sont des exemples généraux, et non des causes confirmées dans le cas de Term Labs.
PeckShield a également signalé que l'adresse de l'attaquant avait initialement reçu 2 ETH de Tornado Cash. Le transfert obscurcit la source de financement antérieure du portefeuille, mais il n'identifie pas l'attaquant ni ne prouve qui contrôlait l'adresse.
Une connexion à Tornado Cash doit donc être traitée comme une piste de financement on-chain, et non comme une conclusion d'attribution. Les enquêteurs auront besoin de registres d'échange, de regroupement de portefeuilles ou d'autres preuves pour relier l'adresse à une personne ou une organisation.
La prochaine mise à jour vérifiée devrait établir quels coffres et contrats ont été affectés. Les utilisateurs ont également besoin de confirmation quant à savoir si les dépôts, les retraits, le vote de gouvernance et l'exécution de la stratégie restent actifs.
Un rapport technique documenterait normalement les transactions malveillantes, le chemin de contrôle et les mesures de protection qui ont échoué. Term Labs n'a pas annoncé quand il publierait ce matériel. Il n'a pas non plus divulgué s'il avait contacté l'attaquant, les forces de l'ordre, les émetteurs de stablecoins ou les bourses centralisées.
Tout plan de remboursement nécessiterait un total de pertes confirmé et une évaluation claire des actifs récupérables. Comme crypto.news l'a rapporté suite à une autre violation DeFi, le plan de récupération Resupply a utilisé des paiements de trésorerie, des fonds d'assurance et l'approbation de la gouvernance. Term Labs n'a pas proposé de processus comparable.
Jusqu'à ce que l'enquête soit terminée, le chiffre de 8,5 millions de dollars et les soldes d'actifs signalés restent des estimations de recherche en sécurité. La seule divulgation confirmée du protocole est qu'un exploit de gouvernance a affecté les coffres Term.
ETH
USDC
