分散型貸出プロトコルのTerm Labsが、プロトコルのボールトガバナンスルールを悪用した攻撃者に合計850万ドル相当のETHとDAIを引き出され、脆弱性攻撃の被害に遭った最新のDeFiプラットフォームとなった。

Term Labsは、固定金利のETHローンを提供する分散型貸出プロトコル「Term Finance」の開発元だ。同プロジェクトは、より予測可能な貸出金利の提供を目標に掲げ、シティバンクとモルガン・スタンレーの出身者を含む伝統的なクオンツチームを擁していることを前面に出していた。

チームは、この攻撃が一部のボールトに影響を与えたことを確認し、実際の影響はまだ評価中であると付け加えた。

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026

初期のデータによると、攻撃者は従来の意味での悪意あるエクスプロイトは使用しておらず、プロトコルが意図した通りに、自らのガバナンス上の影響力のみを利用したという。

DefiLlamaによると、8月23日時点でTerm Labsのロックされた総価値(TVL)は2,500万ドルを超えていた。プロトコルは392万ドルのアクティブなローンを抱え、ボールトにはそれを上回る額の担保が保管されていた。DefiLlamaのデータによれば、Term Financeのボールトは合計で1,225万ドルを保有しており、今回の事件によりプロトコルの貸出能力はほぼ完全に失われたことを意味する。

Term Labsへの攻撃は、Maya Protocolや最近のThe Sandboxに対するミント攻撃など、他の注目された攻撃からわずか数日後に発生した。

攻撃者はどのようにTerm Labsから資金を流出させたのか

オンチェーンデータによると、攻撃者のウォレットはTornado Cashから送られた2 ETHで資金供給されていた。Tornado Cashは、過去の暗号資産攻撃の資金ルートに繰り返し登場してきたイーサリアムのミキシングサービスである。この種の初期資金供給は、DPRK(北朝鮮)のハッカー集団による過去の攻撃と関連付けられてきた。

攻撃者は、ガバナンストークンを100%保有するだけで、Term Labsで流出した5つのボールトのうち4つを支配していた。

Term LabsはMorphoに似た貸出ボールトを提供しており、誰でも資金を預けてパッシブインカムを得ることができた。しかしTerm Labsは、DAOの構築・運用のための歴史あるオープンソースフレームワークの一つであるAragonをガバナンスプラットフォームとして使用しており、ユーザーはボールトへの預け入れを任意でガバナンストークンにラップできた。ガバナンストークンを取得するには、ユーザーはボールトから受け取ったシェアトークンを手動で特別なガバナンストークンに変換する必要があった。

攻撃者はこの2番目のステップを実行することで不当なガバナンス上の優位性を獲得し、その影響力を使ってボールトから資金を流出させることができた。保有していたガバナンストークンの価値はわずか数ドルだったが、攻撃者は不釣り合いなほど大きな影響力を振るい、ボールトからすべての準備金を移動させた。

攻撃者は8月17日、投票者にはすぐには見えない隠されたアクションを含む提案を提出した。この種の待機期間はタイムロックとして機能する。これは、参加者に実行前に保留中の変更を確認し拒否する時間を与えることを目的とした、DAOにおける一般的な安全策である。6日間の待機期間が経過した後、攻撃者はボールトのパラメータを変更し、5つのUSDC貸出ボールトから資金を流出させることができるようにした。

攻撃者は資金を移動させた後、それらを既知の単一ウォレットに留めており、そこには160万ドルのDAIと約690万ドルのETHが保管されている。他の攻撃では流出後1時間以内にミキシングが行われたのとは異なり、この資金はまだミキシングも移動もされていない。このアドレスは公開されて確認できるため、ウォレットはオンチェーンで監視でき、ブロックチェーン分析会社や取引所は、資金の移動や入金の試みがあった場合、盗難資金に関連付けられたアドレスを日常的にフラグ付けしている。

ガバナンス攻撃が成功する理由

複数のWeb3プロトコルが、通常は特定のトークンの保有に関連付けられた何らかのガバナンスメカニズムを構築している。ホエール(大口保有者)やチームへの割当、積極的な買い手の存在は、準備金、DAOのトレジャリー、その他のボールトが攻撃され流出させられる可能性を意味する。

最もよく知られた前例はBeanstalk Farmsだ。同プロトコルは2022年4月、攻撃者がフラッシュローン(単一トランザクション内で実行される無担保の借用)を使って一時的に過半数の投票権を獲得し、自己に有利な提案を可決した結果、約1億8,200万ドルを失った。Termの6日間の待機期間とは異なり、Beanstalkの緊急提案メカニズムは攻撃者の変更を即座に実行した。

DAOやWeb3組織の提案の頻度はさまざまであり、すべての提案が一般ユーザーに理解されているわけではない。つまり、利害関係者が自分に有利な結果を提案し、それを可決させることに成功しうるということだ。