Term Labs — команда, стоящая за протоколом кредитования под фиксированную ставку на базе Ethereum, — потеряла около 8,5 млн долларов после того, как злоумышленник накопил достаточно полномочий в системе управления для исполнения вредоносных предложений против хранилищ, управляемых протоколом.

Компания подтвердила эксплойт системы управления в воскресенье и начала расследование затронутых хранилищ. Контролируемый злоумышленником адрес в настоящее время удерживает примерно 2 843 ETH и 1,6 млн DAI, что при текущих ценах соответствует наблюдаемой выручке около 8,5 млн долларов.

Кошельки, связанные с операцией, были пополнены через Tornado Cash — миксер конфиденциальности в сети Ethereum, уже фигурировавший как источник финансирования в предыдущих крипто-эксплойтах, — прежде чем злоумышленник начал накапливать голосовую власть. Затем эксплойт задействовал собственный процесс голосования Term для авторизации транзакций против хранилищ протокола, превратив контроль над управлением в контроль над внесёнными активами, а не воспользовавшись уязвимостью самого Ethereum.

Путь через систему управления к хранилищам Term

TERM — токен управления протокола Term Finance: держатели токена могут участвовать в решениях, затрагивающих протокол. Term управляет рынками кредитования под фиксированную ставку и продуктовыми хранилищами, размещающими капитал в ончейн-кредитных стратегиях.

Атака была направлена на путь управления, контролирующий хранилища Term. Злоумышленник накопил голосовую власть, внёс предложения, позволявшие перемещать активы хранилищ, и обеспечил достаточно поддержки для исполнения этих транзакций.

Похищенные активы включали примерно 2 843 ETH и стейблкоины. В ходе атаки было перемещено около 1,68 млн USDC, впоследствии конвертированных в DAI; в результате на идентифицированном адресе осталось примерно 1,6 млн DAI помимо ETH.

Использование приобретённой голосовой власти отличает атаку на Term от эксплойтов на уровне смарт-контрактов, таких как воскресный инцидент с KiiChain, где уязвимость в EVM-модуле позволила вывести средства из сети через Hyperlane до того, как валидаторы остановили сеть. Поскольку переводы, инициированные через управление, исполняются через собственный процесс одобрения протокола, значение имеют те средства защиты, которые замедляют или блокируют враждебные предложения, — пороги голосовой власти и задержки между одобрением и исполнением.

BONK потерял 20 млн долларов в результате ещё одного захвата управления

BonkDAO потеряла примерно 20 млн долларов в BONK 6 июля после того, как злоумышленник накопил достаточно голосовой власти для принятия вредоносного предложения через систему управления Realms в Solana. Злоумышленник потратил около 4 млн долларов на формирование необходимой позиции в BONK, после чего предложение перевело 4,426 трлн BONK из казны DAO. Впоследствии BONK упал почти на 40% по мере того, как похищенные токены поступали на рынок. Разрыв между стоимостью голосов и размером перевода из казны показывает, почему активы, контролируемые токенным голосованием, вновь и вновь становятся целями: голосовая власть, необходимая для их перемещения, может стоить значительно дешевле самих активов.

Похожий захват произошёл в июне с небольшим протоколом TOP на базе Ethereum. Злоумышленник вывел около 664 ETH из Tornado Cash, приобрёл более половины предложения TOP из 16 384 токенов и использовал это большинство для одобрения выпуска 10 млрд новых токенов. Около 1,6 млн долларов было извлечено из пула Balancer после продажи вновь созданного предложения. Большинство в системе управления могло исполнить решение немедленно, поскольку в TOP отсутствовал таймлок между одобрением и исполнением. Таймлоки широко используются в DAO именно по этой причине: они создают окно, в течение которого вредоносные предложения могут быть обнаружены и нейтрализованы до перемещения средств.

Term ведёт расследование на фоне ускорения эксплойтов в DeFi

Потеря 8,5 млн долларов на Term произошла через несколько дней после того, как Maya Protocol потеряла около 1,7 млн долларов из-за ошибок в учёте, позволивших злоумышленнику манипулировать позициями ликвидности и выводить активы. Maya отреагировала остановкой сети, пока разработчики изолировали затронутый путь.

Term пока не опубликовала окончательный разбор инцидента по каждой транзакции, план восстановления или подтверждённый процесс компенсаций. Согласно последнему обновлению, затронутые хранилища Term находятся под активным расследованием, а идентифицированный адрес злоумышленника продолжает удерживать примерно 2 843 ETH и 1,6 млн DAI.