Term Labs 거버넌스 익스플로잇으로 850만 달러 유출

Term Labs는 2026년 8월 23일 850만 달러 규모의 거버넌스 익스플로잇을 당했으며, 이는 DeFi의 중대한 보안 위험을 드러냈습니다. 공격자는 약 0.5 ETH를 사용해 볼트 지분을 래핑하고 ETH Meta Vault의 활성 투표권 약 90.7%를 통제했습니다. 또 다른 지갑은 5개 USDC 볼트를 대상으로 하는 제안에 대해 모든 활성 투표권을 보유했습니다. Term Labs 거버넌스 익스플로잇은 핵심 스마트 컨트랙트의 버그나 도난된 프라이빗 키에 의존하지 않았습니다. 공격자는 낮은 투표 참여율과 거버넌스 토큰의 낮은 유동성을 악용했습니다. 일반적인 볼트 매개변수 거부 제안으로 위장한 악성 제안에는 17개의 작업이 포함됐습니다. 이 제안은 Zodiac Delay 모듈의 약 7일 쿨다운을 초기화하고, 실행 권한을 공격자가 통제하는 주소로 이전했으며, 볼트 자산을 악성 출금 전략으로 전환했습니다. 투표 기간이 끝난 뒤 공격자는 ETH 볼트에서 2,841.74 WETH를 빼내고 5개 USDC 볼트에서 약 168만 USDC를 인출했습니다. USDC는 DAI로 교환됐으며, 일부 자산은 나중에 ETH로 전환돼 Tornado Cash를 통해 전송됐습니다. 보안 업체 PeckShield와 CertiK는 사건을 확인하고 해당 활동을 0xD518…C13 주소와 연결했습니다. Term Labs는 Meta Vault 예치를 영구 중단하고 DAO 거버넌스 권한을 취소했으며, 기존 사용자에게는 출금을 계속 허용했습니다. 이번 사건은 2026년에 보고된 다섯 번째 거버넌스 공격으로, 거버넌스 관련 손실은 약 2,510만 달러로 늘었습니다. 트레이더는 ETH 매도 압력, 영향을 받은 지갑, 유동성 상황, 유사 DeFi 프로토콜의 거버넌스 보호 장치를 모니터링해야 합니다. 프로토콜이 더 강력한 정족수 규칙, 멀티시그 통제, 컨빅션 보팅, 강제 가능한 타임록을 도입하지 않는다면 이번 사건은 거버넌스 중심 DeFi에 대한 투자 심리를 약화시킬 수 있습니다.