Term Labs, l'équipe derrière le protocole de prêt à taux fixe basé sur Ethereum, a subi une perte estimée à 8,5 millions de dollars après qu'un attaquant a accumulé suffisamment de pouvoir de gouvernance pour exécuter des propositions malveillantes contre des coffres gérés par le protocole.

L'entreprise a confirmé l'exploit de gouvernance dimanche et a ouvert une enquête sur les coffres concernés. L'adresse contrôlée par l'attaquant détient actuellement environ 2 843 ETH et 1,6 million de DAI, ce qui situe le produit observé à près de 8,5 millions de dollars aux prix actuels.

Les portefeuilles liés à l'opération ont été financés via Tornado Cash, le mixeur de confidentialité d'Ethereum déjà apparu comme source de financement dans de précédents exploits cryptographiques, avant que l'attaquant ne commence à constituer son pouvoir de vote en matière de gouvernance. L'exploit s'est ensuite appuyé sur le propre processus de vote de Term pour autoriser des transactions contre les coffres du protocole, transformant le contrôle de la gouvernance en contrôle des actifs déposés plutôt qu'en une exploitation d'Ethereum lui-même.

La voie de la gouvernance vers les coffres de Term

TERM est le jeton de gouvernance de Term Finance, qui permet à ses détenteurs de participer aux décisions concernant le protocole. Term exploite des marchés de prêt à taux fixe ainsi que des produits de coffres qui déploient du capital sur des stratégies de prêt onchain.

L'attaque a ciblé le chemin de gouvernance contrôlant les coffres de Term. L'attaquant a accumulé du pouvoir de vote, a soumis des propositions capables de déplacer les actifs des coffres et a obtenu suffisamment de soutien pour que les transactions s'exécutent.

Les actifs volés comprenaient environ 2 843 ETH ainsi que des stablecoins. Environ 1,68 million de USDC a été déplacé pendant l'attaque puis converti en DAI, laissant l'adresse identifiée avec environ 1,6 million de DAI en plus des ETH.

L'utilisation d'un pouvoir de vote acquis distingue le détournement subi par Term des attaques au niveau des contrats, comme l'exploit de KiiChain survenu dimanche, dans lequel une vulnérabilité d'un module EVM a permis à des fonds de quitter la chaîne via Hyperlane avant que les validateurs n'arrêtent le réseau. Comme les transferts pilotés par la gouvernance s'exécutent via le propre processus d'approbation du protocole, les défenses qui comptent sont celles qui ralentissent ou bloquent les propositions hostiles : des seuils de pouvoir de vote et des délais entre l'approbation et l'exécution.

BONK a perdu 20 millions de dollars lors d'une autre capture de gouvernance

BonkDAO a perdu environ 20 millions de dollars en BONK le 6 juillet après qu'un attaquant a accumulé suffisamment de pouvoir de vote pour faire adopter une proposition malveillante via le système de gouvernance Realms de Solana. L'attaquant a dépensé environ 4 millions de dollars pour constituer la position en BONK nécessaire avant qu'une proposition ne transfère 4 426 milliards de BONK depuis la trésorerie de la DAO. Le BONK a ensuite chuté de près de 40 % à mesure que les jetons volés arrivaient sur le marché. L'écart entre le coût des votes et l'ampleur du transfert depuis la trésorerie illustre pourquoi les actifs contrôlés par le vote des jetons sont des cibles récurrentes : le pouvoir de vote nécessaire pour les déplacer peut coûter bien moins cher que les actifs eux-mêmes.

Une prise de contrôle similaire a frappé le petit protocole TOP, basé sur Ethereum, en juin. Un attaquant a retiré environ 664 ETH de Tornado Cash, a acheté plus de la moitié de l'offre de 16 384 jetons de TOP et a utilisé cette majorité pour approuver l'émission de 10 milliards de nouveaux jetons. Environ 1,6 million de dollars ont été extraits d'un pool Balancer après la vente de l'offre nouvellement créée. La majorité de gouvernance pouvait exécuter immédiatement ses décisions car TOP ne disposait pas d'un timelock entre l'approbation et l'exécution. Les timelocks sont pour cette raison une mesure de protection largement utilisée par les DAO, car ils créent une fenêtre pendant laquelle les propositions malveillantes peuvent être détectées et contrées avant tout mouvement de fonds.

Term enquête alors que les exploits DeFi s'accélèrent

Le détournement de 8,5 millions de dollars subi par Term survient quelques jours après que Maya Protocol a perdu environ 1,7 million de dollars, une comptabilité défaillante ayant permis à un attaquant de manipuler des positions de liquidité et d'extraire des actifs. Maya a réagi par un arrêt du réseau tandis que les développeurs isolaient le chemin concerné.

Term n'a publié ni analyse post-mortem définitive transaction par transaction, ni plan de récupération, ni processus de remboursement confirmé. Sa dernière mise à jour indique que les coffres Term concernés font l'objet d'une enquête active, tandis que l'adresse identifiée de l'attaquant continue de détenir environ 2 843 ETH et 1,6 million de DAI.