Term Labs mengonfirmasi pada 23 Agustus bahwa eksploitasi tata kelola (governance exploit) telah memengaruhi brankas pinjaman (lending vaults) mereka. Firma keamanan blockchain memperkirakan bahwa penyerang mengambil sekitar $8,5 juta dalam bentuk mata uang kripto.
Protokol tersebut menyatakan sedang melakukan investigasi dan akan merilis informasi tambahan setelahnya. Mereka belum mengonfirmasi estimasi kerugian, mengidentifikasi brankas yang terdampak, atau menjelaskan bagaimana penyerang mendapatkan kontrol tata kelola.
“Kami mengetahui adanya eksploitasi tata kelola yang memengaruhi brankas Term,” kata Term. “Kami akan membagikan detail lebih lanjut setelah penyelidikan lebih lanjut.”
Pernyataan tersebut tidak menyebutkan apakah Term Labs telah menghentikan sementara deposit, penarikan, atau fungsi tata kelola. Juga tidak diidentifikasi kontrak apa pun yang harus dihindari pengguna. Tidak ada proposal pemulihan, komitmen penggantian, atau tenggat waktu untuk postmortem yang diumumkan saat laporan ini disusun.
Term Labs mengoperasikan sistem pinjaman terdesentralisasi yang dibangun berdasarkan pinjaman dan peminjaman dengan suku bunga tetap. Brankas strateginya mengalokasikan dana yang disetor melalui kontrak terprogram. Protokol tersebut belum menyatakan apakah setiap brankas terekspos atau apakah insiden tersebut hanya memengaruhi implementasi tertentu.
CertiK mengklasifikasikan insiden tersebut sebagai serangan tata kelola dan memperkirakan kerugian sekitar $8,5 juta. Jumlah tersebut tetap merupakan estimasi eksternal daripada angka yang dikonfirmasi oleh Term Labs.
PeckShield melaporkan bahwa penyerang menguras sekitar 2.843 ETH, senilai sekitar $6,87 juta pada saat itu, ditambah 1,68 juta USDC. Menurut pelacakannya, penyerang kemudian menukarkan USDC dengan sekitar 1,68 juta DAI.
Jumlah tersebut secara luas mendukung estimasi CertiK. Namun, valuasi dapat berubah seiring dengan harga aset, biaya transaksi, dan transfer berikutnya. Akuntansi lengkap akan membutuhkan Term Labs untuk mengidentifikasi setiap brankas yang terdampak dan merekonsiliasi transaksi yang relevan.
Temuan ini juga menyerupai serangan lain baru-baru ini terhadap dana yang dikendalikan protokol. Dalam liputan terkait, eksploitasi brankas Summer.fi dilaporkan menguras sekitar $6 juta. Kasus tersebut melibatkan kontrak yang berbeda dan tidak menjelaskan bagaimana insiden Term Labs terjadi.
Term Labs telah menggambarkan peristiwa tersebut sebagai eksploitasi tata kelola, tetapi baik protokol maupun firma keamanan yang disebut belum menerbitkan penjelasan tingkat transaksi penuh. Masih belum jelas apakah penyerang mengumpulkan kekuatan voting, menyalahgunakan izin yang ada, atau mengeksploitasi kelemahan dalam proses proposal.
Serangan tata kelola dapat memungkinkan entitas menggunakan fungsi voting atau administratif yang sah untuk mentransfer aset protokol. Seperti yang dijelaskan crypto.news sebelumnya setelah serangan tata kelola BonkDAO, aturan kuorum yang lemah, kekuatan voting yang terkonsentrasi, dan tidak adanya penundaan eksekusi dapat mengekspos dana yang dikendalikan. Risiko-risiko tersebut adalah contoh umum, bukan penyebab yang dikonfirmasi dalam kasus Term Labs.
PeckShield juga melaporkan bahwa alamat penyerang awalnya menerima 2 ETH dari Tornado Cash. Transfer tersebut mengaburkan sumber dana awal dompet, tetapi tidak mengidentifikasi penyerang atau membuktikan siapa yang mengendalikan alamat tersebut.
Oleh karena itu, koneksi Tornado Cash harus diperlakukan sebagai jejak pendanaan on-chain, bukan temuan atribusi. Penyelidik akan membutuhkan catatan bursa, pengelompokan dompet, atau bukti lain untuk menghubungkan alamat tersebut dengan seseorang atau organisasi.
Pembaruan terverifikasi berikutnya harus menetapkan brankas dan kontrak mana yang terpengaruh. Pengguna juga memerlukan konfirmasi apakah deposit, penarikan, voting tata kelola, dan eksekusi strategi tetap aktif.
Laporan teknis biasanya akan mendokumentasikan transaksi jahat, jalur kontrol, dan pengamanan yang gagal. Term Labs belum mengumumkan kapan mereka akan mempublikasikan materi tersebut. Mereka juga belum mengungkapkan apakah mereka telah menghubungi penyerang, penegak hukum, penerbit stablecoin, atau bursa terpusat.
Rencana pembayaran kembali apa pun akan memerlukan total kerugian yang dikonfirmasi dan penilaian yang jelas mengenai aset yang dapat dipulihkan. Seperti yang dilaporkan crypto.news setelah pelanggaran DeFi lainnya, rencana pemulihan Resupply menggunakan pembayaran kas negara, dana asuransi, dan persetujuan tata kelola. Term Labs belum mengusulkan proses yang sebanding.
Sampai investigasi selesai, angka $8,5 juta dan saldo aset yang dilaporkan tetap merupakan estimasi penelitian keamanan. Satu-satunya pengungkapan yang dikonfirmasi oleh protokol adalah bahwa eksploitasi tata kelola memengaruhi brankas Term.
