هک ۸.۵ میلیون دلاری ترم فایننس از طریق اکسپلویت حاکمیتی

به گفته شرکت‌های امنیت بلاکچین، پروتکل وام‌دهی غیرمتمرکز Term Finance پس از آنکه یک مهاجم کنترل حاکمیتی خزانه‌های استراتژی آن را به دست گرفت، حدود ۸.۵ میلیون دلار از دست داد. روز یکشنبه، شرکت PeckShield گزارش داد که مهاجم حدود ۲,۸۴۳ اتر (ETH) به ارزش ۶.۸۷ میلیون دلار در آن زمان و ۱.۶۸ میلیون USDC را که به تقریباً ۱.۶۸ میلیون دای (DAI) تبدیل شد، به سرقت برده است. شرکت CertiK نیز تخمین مشابهی ارائه داد و کل زیان را حدود ۸.۵ میلیون دلار اعلام کرد.

بر اساس داده‌های Defillama، این زیان گزارش‌شده تقریباً ۶۸ درصد از ۱۲.۴۵ میلیون دلار موجودی محصول خزانه (vault) این پروتکل قبل از حمله را تشکیل می‌دهد. این حمله تقریباً تمام ۸.۸ میلیون دلار سپرده‌های اتریوم این پروتکل را تخلیه کرده است.

شرکت Term Labs اعلام کرد که تمام خزانه‌های Term Meta را برای همیشه بسته و نقش‌های حاکمیتی DAO آن‌ها را لغو کرده است. این اقدام به طور دائم از واریزهای بیشتر جلوگیری می‌کند، در حالی که امکان برداشت برای کاربران همچنان باز است. بر اساس تحقیقات اولیه، این شرکت اعلام کرده که پروتکل اصلی Term و بازارهای وام‌دهی و استقراض مستقیم آن تحت تأثیر قرار نگرفته‌اند، هرچند هنوز در حال بررسی دامنه کامل این حادثه هستند.

تلاش‌های کوین‌تلگراف برای تماس با Term Labs جهت دریافت توضیحات بیشتر بی‌نتیجه ماند. این شرکت اطلاعات تماس عمومی برای رسانه‌ها ارائه نکرده و پیام‌های مستقیم آن در شبکه اجتماعی X نیز بسته است.

سرویس نظارت آنچین Defimon اعلام کرد که مهاجم با هزینه‌ای اندک، اکثریت یک توکن حاکمیتی با هولدرهای کم را به دست آورده و پیشنهادهایی را برای به دست گرفتن کنترل خزانه‌های Term تصویب کرده است. Term Finance هنوز تأیید نکرده که مهاجم چگونه کنترل رأی‌گیری را به دست آورده یا از کدام عملکردهای حاکمیتی استفاده کرده است.

قراردادهای خزانه از زیرساخت Yearn V3 استفاده می‌کنند. با این حال، Yearn اعلام کرد که این حمله به دلیل یک «پوشش حاکمیتی سفارشی» (custom governance wrapper) رخ داده و این آسیب‌پذیری بر تنظیمات استاندارد خزانه‌های Yearn تأثیری ندارد.

Term Finance اعلام کرده که در حال همکاری با تیم‌های امنیتی خارجی برای بازیابی دارایی‌ها و جبران خسارت است. این شرکت همچنین گفته که «مسیرهایی را برای رسیدگی» به هرگونه کسری باقی‌مانده بررسی خواهد کرد.

این حادثه به دنبال یک خطای اوراکل در آوریل ۲۰۲۴ رخ می‌دهد که منجر به لیکویید شدن ناخواسته حدود ۹۱۸ اتر شده بود. در آن زمان، Term حدود ۵۵۶ اتر را بازیابی کرد، زیان نهایی خود را به ۳۶۲ اتر کاهش داد و به کاربران آسیب‌دیده غرامت پرداخت. پس از آن رویداد، Term متعهد به اعتبارسنجی شخص ثالث برای به‌روزرسانی‌های حیاتی و شفافیت بیشتر در حاکمیت شده بود.