Term Labs, il team dietro il protocollo di prestito a tasso fisso basato su Ethereum, ha perso circa 8,5 milioni di dollari dopo che un aggressore ha accumulato abbastanza potere di governance da eseguire proposte dannose contro vault gestiti dal protocollo.

L'azienda ha confermato l'exploit di governance domenica e ha aperto un'indagine sui vault interessati. L'indirizzo controllato dall'aggressore detiene attualmente circa 2.843 ETH e 1,6 milioni di DAI, il che colloca il bottino osservato vicino agli 8,5 milioni di dollari ai prezzi attuali.

I portafogli collegati all'operazione sono stati finanziati tramite Tornado Cash, il mixer di privacy di Ethereum già emerso come fonte di finanziamento in precedenti exploit crittografici, prima che l'aggressore iniziasse a costruire potere di voto nella governance. L'exploit si è quindi appoggiato al processo di voto di Term stesso per autorizzare transazioni contro i vault del protocollo, trasformando il controllo della governance in controllo sugli asset depositati anziché sfruttare una falla di Ethereum.

Il percorso di governance verso i vault di Term

TERM è il token di governance di Term Finance: i detentori possono partecipare alle decisioni che riguardano il protocollo. Term gestisce mercati di prestito a tasso fisso e prodotti vault che impiegano capitale in strategie di prestito on-chain.

L'attacco ha preso di mira il percorso di governance che controlla i vault di Term. L'aggressore ha accumulato potere di voto, ha presentato proposte in grado di muovere gli asset dei vault e ha ottenuto abbastanza supporto per l'esecuzione delle transazioni.

Gli asset sottratti comprendono circa 2.843 ETH oltre a stablecoin. Circa 1,68 milioni di USDC sono stati spostati durante l'attacco e successivamente convertiti in DAI, lasciando l'indirizzo identificato con circa 1,6 milioni di DAI oltre agli ETH.

L'uso di potere di voto acquisito distingue il drenaggio di Term dagli attacchi a livello di contratto come l'exploit di KiiChain di domenica, in cui una vulnerabilità di un modulo EVM ha permesso ai fondi di lasciare la chain tramite Hyperlane prima che i validatori fermassero la rete. Poiché i trasferimenti guidati dalla governance vengono eseguiti attraverso il processo di approvazione interno del protocollo, le difese che contano sono quelle che rallentano o bloccano le proposte ostili: soglie di potere di voto e ritardi tra approvazione ed esecuzione.

BONK ha perso 20 milioni di dollari attraverso un'altra cattura della governance

BonkDAO ha perso circa 20 milioni di dollari in BONK il 6 luglio dopo che un aggressore ha accumulato abbastanza potere di voto per far approvare una proposta dannosa attraverso il sistema di governance Realms di Solana. L'aggressore ha speso circa 4 milioni di dollari per costruire la posizione in BONK necessaria, prima che la proposta trasferisse 4,426 trilioni di BONK dalla tesoreria del DAO. In seguito BONK è sceso di quasi il 40% mentre i token rubati transitavano sul mercato. Il divario tra il costo dei voti e l'entità del trasferimento dalla tesoreria illustra perché gli asset controllati dal voto dei token siano obiettivi ricorrenti: il potere di voto necessario a muoverli può costare molto meno degli asset stessi.

Un takeover simile ha colpito a giugno il piccolo protocollo TOP basato su Ethereum. Un aggressore ha prelevato circa 664 ETH da Tornado Cash, ha acquistato più della metà dell'offerta di 16.384 token di TOP e ha usato tale maggioranza per approvare il mint di 10 miliardi di nuovi token. Circa 1,6 milioni di dollari sono stati estratti da una pool Balancer dopo la vendita della nuova offerta creata. La maggioranza nella governance poteva eseguire immediatamente perché a TOP mancava un timelock tra approvazione ed esecuzione. Per questo motivo i timelock sono una salvaguardia ampiamente utilizzata nei DAO: creano una finestra in cui le proposte dannose possono essere individuate e contrastate prima che i fondi vengano spostati.

Term indaga mentre gli exploit DeFi accelerano

Il drenaggio di 8,5 milioni di dollari da Term arriva pochi giorni dopo che Maya Protocol ha perso circa 1,7 milioni di dollari quando una contabilità difettosa ha permesso a un aggressore di manipolare posizioni di liquidità ed estrarre asset. Maya ha risposto con un arresto della rete mentre gli sviluppatori isolavano il percorso interessato.

Term non ha ancora pubblicato un post-mortem definitivo transazione per transazione, un piano di recupero né un processo di rimborso confermato. Il suo ultimo aggiornamento indica che i vault Term interessati sono oggetto di indagini attive, mentre l'indirizzo identificato dell'aggressore continua a detenere circa 2.843 ETH e 1,6 milioni di DAI.