Term Labsのガバナンス脆弱性悪用で850万ドル流出

Term Labsは2026年8月23日、850万ドル規模のガバナンス攻撃を受け、DeFiにおける重大なセキュリティリスクが明らかになりました。攻撃者は約0.5 ETHを使ってボールト・シェアをラップし、ETH Meta Vaultのアクティブな投票権の約90.7%を支配しました。別のウォレットは、5つのUSDCボールトを対象とする提案について、すべてのアクティブな投票権を保有していました。 この攻撃は、主要スマートコントラクトのバグや盗まれた秘密鍵には依存していませんでした。攻撃者は、投票参加率の低さとガバナンストークンの流動性不足を悪用しました。通常のボールト・パラメータ拒否提案を装った悪意ある提案には17件のアクションが含まれていました。これにより、Zodiac Delayモジュールの約7日間のクールダウンがリセットされ、実行権限が攻撃者の管理するアドレスへ移され、ボールト資産が悪意ある退出戦略へ誘導されました。 投票期間終了後、攻撃者はETHボールトから2,841.74 WETH、5つのUSDCボールトから約168万USDCを流出させました。USDCはDAIに交換され、一部の資産は後にETHへ換金されてTornado Cashを通じて送られました。セキュリティ企業のPeckShieldとCertiKは事件を確認し、活動をアドレス0xD518…C13に関連付けました。 Term LabsはMeta Vaultへの入金を恒久的に停止し、DAOガバナンス権限を取り消しました。一方、既存ユーザー向けの出金は継続しました。この事件は2026年に報告された5件目のガバナンス攻撃であり、ガバナンス関連損失は約2,510万ドルに達しました。トレーダーは、ETHの売り圧力、影響を受けたウォレット、流動性状況、類似DeFiプロトコルのガバナンス対策を監視すべきです。プロトコルがより強固な定足数ルール、マルチシグ管理、コンビクション・ボーティング、強制力のあるタイムロックを導入しない限り、この事件はガバナンス重視のDeFiに対するセンチメントを悪化させる可能性があります。