Term Labs, das Team hinter dem Ethereum-basierten Festzins-Kreditprotokoll, hat geschätzte 8,5 Millionen US-Dollar verloren, nachdem ein Angreifer ausreichend Governance-Macht angesammelt hatte, um bösartige Vorschläge gegen protokollbetriebene Vaults auszuführen.

Das Unternehmen bestätigte den Governance-Exploit am Sonntag und leitete eine Untersuchung der betroffenen Vaults ein. Die vom Angreifer kontrollierte Adresse hält derzeit etwa 2.843 ETH und 1,6 Millionen DAI, was den beobachteten Erlös zum aktuellen Preis in die Nähe von 8,5 Millionen US-Dollar rückt.

Mit dem Angriff verbundene Wallets wurden über Tornado Cash finanziert, den Ethereum-Privacy-Mixer, der bereits bei früheren Krypto-Exploits als Finanzierungsquelle in Erscheinung trat, bevor der Angreifer begann, Governance-Stimmrecht aufzubauen. Der Exploit stützte sich anschließend auf den eigenen Abstimmungsprozess von Term, um Transaktionen gegen Protokoll-Vaults zu autorisieren, und verwandelte damit die Kontrolle über die Governance in Kontrolle über die eingezahlten Vermögenswerte, anstatt Ethereum selbst auszunutzen.

Über die Governance zu den Vaults von Term

TERM ist der Governance-Token von Term Finance; Inhaber können an Entscheidungen mitwirken, die das Protokoll betreffen. Term betreibt Festzins-Kreditmärkte sowie Vault-Produkte, die Kapital über Onchain-Kreditstrategien einsetzen.

Der Angriff richtete sich gegen den Governance-Pfad, der die Vaults von Term kontrolliert. Der Angreifer akkumulierte Stimmrecht, reichte Vorschläge ein, die Vault-Vermögenswerte bewegen konnten, und sicherte ausreichend Unterstützung, um die Ausführung der Transaktionen zu erreichen.

Zu den gestohlenen Vermögenswerten gehörten rund 2.843 ETH sowie Stablecoins. Während des Angriffs wurden etwa 1,68 Millionen USDC bewegt und anschließend in DAI umgewandelt, sodass die identifizierte Adresse neben dem ETH über etwa 1,6 Millionen DAI verfügt.

Der Einsatz erworbenen Stimmrechts unterscheidet den Angriff auf Term von Angriffen auf Vertragsebene wie dem KiiChain-Exploit vom Sonntag, bei dem eine Schwachstelle in einem EVM-Modul ermöglichte, dass Mittel über Hyperlane die Chain verließen, bevor die Validatoren das Netzwerk stoppten. Da gouvernance-gesteuerte Transfers über den eigenen Genehmigungsprozess eines Protokolls ausgeführt werden, sind die entscheidenden Schutzmechanismen diejenigen, die feindliche Vorschläge verlangsamen oder blockieren – Stimmrechtsschwellen und Verzögerungen zwischen Genehmigung und Ausführung.

BONK verlor 20 Millionen US-Dollar durch eine weitere Governance-Übernahme

BonkDAO verlor am 6. Juli rund 20 Millionen US-Dollar in Form von BONK, nachdem ein Angreifer ausreichend Stimmrecht angesammelt hatte, um über das Realms-Governance-System von Solana einen bösartigen Vorschlag durchzusetzen. Der Angreifer gab etwa 4 Millionen US-Dollar für den Aufbau der erforderlichen BONK-Position aus, bevor der Vorschlag 4,426 Billionen BONK aus der DAO-Treasury übertrug. BONK fiel anschließend um fast 40 %, als die gestohlenen Tokens durch den Markt wanderten. Die Spanne zwischen den Kosten der Stimmen und dem Umfang der Treasury-Übertragung verdeutlicht, warum Vermögenswerte, die über Token-Abstimmung kontrolliert werden, wiederkehrende Ziele sind: Das für ihre Bewegung erforderliche Stimmrecht kann weitaus günstiger sein als die Vermögenswerte selbst.

Eine ähnliche Übernahme traf im Juni das kleine, auf Ethereum basierende TOP-Protokoll. Ein Angreifer hob etwa 664 ETH über Tornado Cash ab, kaufte mehr als die Hälfte des 16.384 Token umfassenden Gesamtbestands von TOP und nutzte diese Mehrheit, um die Ausprägung von 10 Milliarden neuen Tokens zu genehmigen. Rund 1,6 Millionen US-Dollar wurden aus einem Balancer-Pool entzogen, nachdem die neu geschaffene Menge verkauft worden war. Die Governance-Mehrheit konnte unmittelbar handeln, weil TOP keine Zeitverzögerung zwischen Genehmigung und Ausführung (Timelock) hatte. Timelocks sind aus diesem Grund ein weit verbreiteter DAO-Schutzmechanismus, da sie ein Zeitfenster schaffen, in dem bösartige Vorschläge erkannt und abgewehrt werden können, bevor Mittel fließen.

Term untersucht, während DeFi-Exploits zunehmen

Der Verlust von 8,5 Millionen US-Dollar bei Term ereignete sich wenige Tage, nachdem das Maya Protocol rund 1,7 Millionen US-Dollar verlor, weil fehlerhafte Buchhaltung einem Angreifer die Manipulation von Liquiditätspositionen und das Entziehen von Vermögenswerten ermöglichte. Maya reagierte mit einer Netzwerk-Pause, während die Entwickler den betroffenen Pfad isolierten.

Term hat bislang weder eine finale transaktionsweise Analyse (Postmortem), einen Wiederherstellungsplan noch einen bestätigten Erstattungsprozess veröffentlicht. Die neueste Aktualisierung besagt, dass die betroffenen Term-Vaults aktiv untersucht werden, während die identifizierte Angreiferadresse weiterhin etwa 2.843 ETH und 1,6 Millionen DAI hält.