Term Labsは、セキュリティ企業の推計で約850万ドルが8月23日にTerm Financeのボールトから流出したガバナンス悪用について調査している。この事件により、関心はスマートコントラクトのコードから、プロトコルのボールトとその保有資産を保護するガバナンス管理へと移った。

セキュリティ企業が攻撃者の資金を追跡

CertiKは、悪用発生源の調査で、攻撃者が管理するアドレスが約2,843 ETHと約160万ドルのDAIを保有していることを特定した。PeckShieldは、攻撃者が被害を受けたシステムから、約687万ドルに相当する2,843 ETHと168万USDCを引き出したと推定した。

盗まれたUSDCはその後、約168万DAIに交換された。攻撃は当初、資金のオンチェーン上の痕跡を隠すために作られたミキシングサービスであるTornado Cashから調達された2 ETHを元手に行われた。

Term Labs Suffers $8.5M Governance Exploit Affecting Vaults

DeFi lending protocol @term_labs suffered a governance exploit affecting its vaults. According to PeckShieldAlert and CertiK Alert, the attack resulted in losses of about $8.5 million, with the exploiter holding… pic.twitter.com/yhAHbCN95d

— Wu Blockchain (@WuBlockchain), August 23, 2026 (X)

Term Labsはガバナンス悪用が自社のボールトに影響を与えたことを確認したが、同プロトコルは8月23日時点で完全な事後検証報告を公表していなかった。そのため、攻撃の一連の流れ、被害を受けた特定のボールト、ガバナンス保護を突破するために使われた手法は、いずれも未確認のままである。

ガバナンス管理が厳しい検証に直面

この事件は従来のスマートコントラクトの不具合とは性格が異なる。初期のセキュリティ報告が、ボールト資産への経路としてコードの欠陥ではなくガバナンスを特定しているためだ。この違いにより、調査担当者が攻撃者がいかにして保護された資金へ到達したのかを解明する中で、Term Financeの管理構造が検証対象となっている。オンチェーンのコードの欠陥ではなく、侵害された鍵やガバナンス権限に起因する損失は、DeFiのセキュリティ事件で繰り返し見られる類型であり、2024年10月のRadiant Capital侵害では、攻撃者がマルチシグの署名鍵を侵害した後、約5,300万ドルを流出させたことが広く報じられている。

Termのドキュメントでは、マネージャーとガバナーの役割が分離されており、ガバナンス上の操作はGnosis Safe（DeFiで広く使われるマルチシグウォレット）とZodiac Delay Moduleを経由して実行される。これらの操作にはさらに実行前の7日間のタイムロックが課され、提案された変更をレビューする期間が設けられている。ボールトの流動性提供者はDAO参加者として位置づけられ、遅延期間中に提案を拒否する権限を持つ。ドキュメントによると、拒否が成功すれば実行前にキューに入ったトランザクションを無効化でき、さらなる保護層となる。

ただしTerm Labsは、侵害が投票力、権限の問題、設定の不備、その他のガバナンス経路のいずれによって引き起こされたのかを確認していない。事後検証報告がないため、利用可能な証拠からは、どの保護機能が失敗したのか、文書化された管理が設計どおりに機能したのかどうかは確定できない。

ボールト設計、TVL、回復に関する課題は未解決のまま

Term Financeは、伝統的なレポ取引（買戻し契約）をモデルとした、ノンカストディアル・固定金利・過剰担保の貸付を提供し、封印入札（シールドビッド）オークションを通じて借り手と貸し手をマッチングしている。貸し手は満期時に元本と利息の請求権を表すレポトークンを受け取り、Strategy Vaultが参加と流動性管理を自動化する。

ボールトは、単一資産のトークン化ボールトに関するイーサリアム標準ERC-4626のYearn V3実装を基盤とし、オークション、ポートフォリオ限度額、リザーブ、満期管理を担うカスタムロジックと組み合わせて構築されている。現時点の証拠では、Yearn V3やイーサリアム自体に脆弱性は確認されておらず、検証の焦点はTermのボールト実装を取り囲む権限とガバナンス層に絞られている。

悪用発生前、DeFi各プロトコルの預かり資産を公開追跡するDeFiLlamaは、TermFinance Vaultsの総預かり額（TVL）を約1,087万ドル、うちイーサリアム上で約723万ドルと表示していた。この数値は二重計上を避けるためTermレポトークンに配分された資本を除外しており、850万ドルという損失推計との直接比較は信頼性に欠ける。

執筆時点で、Term Labsは回復計画や補償の枠組みを発表しておらず、ユーザーの総損失額も確認していない。また、事件後に預け入れ、引き出し、ガバナンス機能、特定のボールトが停止されたかどうかも明らかにしていない。

攻撃者が管理するウォレットは引き続き追跡の焦点だが、Tornado Cashからの資金提供だけでは攻撃者の特定には至らない。預け入れ者にとっては、次回の情報開示で、悪意あるガバナンストランザクション、影響を受けたコントラクト、提案のタイミング、タイムロックの活動が明らかにされる必要がある。これらの詳細によって、本件がガバナンスの乗っ取り、権限の不備、それともTerm Financeのボールト管理におけるその他の実装上の失敗のいずれに該当するかが判明する。