Crypto-platform Term Labs bestolen: 8,5 miljoen dollar weg

In dit artikel:

Een aanvaller heeft ongeveer 8,5 miljoen dollar gestolen uit cryptokluizen van DeFi-project Term Labs. Hij hoefde daarvoor geen fout in een smart contract te misbruiken: met slechts 951 dollar kocht hij genoeg governance-tokens om een meerderheid in het bestuursmechanisme te krijgen.

De aanval trof de Meta Vaults en strategy vaults van Term Labs, waarin ongeveer 12,45 miljoen dollar aan gebruikersgelden zat. Omdat het governance-token weinig werd verhandeld, was een relatief kleine aankoop voldoende om de controle over te nemen. De aanvaller diende vervolgens voorstellen in om geld uit vier USDC-kluizen en de Ethereum Meta Vault naar zijn eigen wallet te sturen, waarna hij deze voorstellen met zijn stemmacht zelf goedkeurde.

Het incident toont een zwakke plek in DeFi-governance: protocollen kunnen miljoenen beheren, terwijl controle over belangrijke beslissingen goedkoop te kopen is. Een vergelijkbare aanval op BonkDAO leverde in juli circa 20 miljoen dollar op.

Term Labs heeft nieuwe stortingen in de getroffen kluizen geblokkeerd en de governance-rollen ingetrokken. Resterende tegoeden kunnen nog worden opgenomen. De leenmarkten van Term Finance bleven buiten schot. Yearn stelt dat de kwetsbaarheid niet in Yearn V3 zat, maar in de extra bestuurslaag van Term Labs.