Mintegy 8,5 millió dollárt vittek el a Term Finance DeFi-hitelezőtől

A Term Finance vaultjaiból a vagyon 68%-a eltűnt. A támadó vélhetően megszerezte az irányítási token többségét; a vizsgálat szerint a hitelpiacok sértetlenek

Röviden:

• A vaultok vagyonának 68%-a eltűnt, miközben a közvetlen hitelezési piacok a vizsgálat alapján érintetlenek maradtak.
• A támadó feltehetően olcsón megszerezte egy kevés szereplő kezében lévő irányítási token többségét, majd átvette a vaultok irányítását.
• A Term Labs végleg leállította a Meta Vaultokat, de a pénzkivonást továbbra is engedélyezte.
• A Term 2025 áprilisában 556 Ethereumot szerzett vissza; most külső csapatokkal dolgozik az eszközmentésen.

A támadó a vaultokban tartott vagyon 68%-át szerezte meg

A Term Finance elleni támadás során a támadó 2 843 ETH-t vont ki, amely az eset idején 6,87 millió dollárt ért. Emellett 1,68 millió USDC-t is megszerzett, majd közel ugyanennyi DAI-ra váltotta. A CertiK blokklánc-biztonsági cég mintegy 8,5 millió dollárra becsülte a teljes veszteséget.

A Defillama adatai alapján a vaultokban előzőleg 12,45 millió dollár volt, ennek 68%-a került ki a rendszerből. Az Ethereum (2 448 dollár) tette ki a kivont eszközök legnagyobb részét.

A Term Finance elleni támadás hátterében az irányítás megszerzése állhatott

A Defimon blokkláncfigyelő szolgáltatás úgy látja, hogy a támadó olcsón megszerezte egy kevés szereplő kezében lévő irányítási token többségét. Ezután olyan javaslatokat fogadtatott el, amelyekkel átvehette a Term vaultjainak irányítását.

A Term Labs egyelőre nem erősítette meg, pontosan hogyan került a támadóhoz a szavazati többség, és mely irányítási funkciókat használta. A vaultok a Yearn V3 infrastruktúrájára épültek, de a Yearn közölte, hogy a támadás egy egyedi irányítási megoldást érintett. A feltárt módszer ezért nem alkalmazható a szabványos Yearn-vaultokra.

A közvetlen hitelpiacok nem sérültek, a Meta Vaultokat végleg leállították

A Term Labs visszavonhatatlanul leállította az összes Term Meta Vaultot, és megszüntette azok DAO-irányítási jogosultságait. Új befizetésre többé nincs lehetőség, a már bent lévő eszközök kivonását azonban továbbra is engedélyezi a rendszer.

A vállalat eddigi vizsgálata nem talált sérülést az alapul szolgáló Term protokollban vagy a közvetlen hitelfelvételi és hitelezési piacokon. A teljes hatókör ellenőrzése még tart, ezért a Term Labs nem tekinti lezártnak a technikai vizsgálatot.

A 2025. áprilisi oracle-hiba után a Term kártalanította az ügyfeleket

A 2025. áprilisi incidensnél az árfolyamadatot szolgáltató oracle hibája mintegy 918 ETH nem tervezett likvidálását okozta. A Term ebből 556 Ethereumot szerzett vissza, így a végleges veszteséget 362 ETH-ra csökkentette, majd kártalanította az érintett felhasználókat.

Az akkori utólagos vizsgálat után a Term külső ellenőrzést ígért a kritikus frissítésekhez, valamint átláthatóbb irányítási folyamatokat. A mostani esetnél külső biztonsági csapatokkal dolgozik az eszközök visszaszerzésén és a károk elhárításán. A fennmaradó hiány kezelésének lehetséges módjait szintén vizsgálja.

Hogyan értelmezzük ezt a hírt?

A Term Finance számára ez súlyos bizalmi kudarc: a támadó feltehetően nem a hitelezési protokoll kódját törte fel, hanem az irányítás gyenge pontját használta ki, és így több millió dollárnyi vagyont vitt el. Különösen rossz fényt vet az esetre, hogy a projekt 2025 áprilisi oracle-hibája után épp szigorúbb külső ellenőrzést és átláthatóbb irányítást ígért. Az alapul szolgáló hitelpiacok érintetlensége fontos különbség, de a vaultok felhasználóinak veszteségét ez nem teszi kisebbé.

A Meta Vaultok végleges leállítása helyes kárelhárítási lépés, mert megszünteti a további befizetések és az érintett irányítási rendszer kockázatát. A valódi próba most az lesz, hogy a Term Labs mennyit tud visszaszerezni, és miként rendezi a fennmaradó hiányt. Egy DeFi-protokollnál az irányítás biztonsága ugyanúgy a termék része, mint az okos szerződéseké: ha kevés kézben összpontosul a szavazati erő, a decentralizáltnak nevezett rendszer is könnyen átvehetővé válhat.