ディファイ融資プロトコルのターム・ファイナンスでハッキング、850万ドル被害

イーサリアム（ETH）基盤の固定金利融資プロトコル、ターム・ファイナンス（Term Finance）がガバナンスシステムを狙った攻撃を受け、約850万ドル（約13億5000万円）相当の暗号資産を奪われた。

8月23日、ザ・ブロックによると、ブロックチェーンセキュリティー企業のペックシールドとサーティックは前日、攻撃者がターム・ファイナンスのガバナンスシステムを悪用し、ボルトに保管されていたイーサリアムとステーブルコインを引き出したと明らかにした。ターム・ラボは「ターム・ボルトに影響したガバナンス攻撃を認識している」とし、調査後に詳細を公表すると説明した。

ペックシールドは、攻撃者が約2843ETH（約690万ドル、約11億円）と168万USDC（約168万ドル、約2億6700万円）を引き出したと推定した。流出したUSDCは約168万DAIに交換された。攻撃に使われたアドレスは、これに先立ち暗号資産ミキシングプロトコルのトルネードキャッシュから2ETHを受け取っていたことも分かった。サーティックは被害総額を約850万ドルと見積もっている。

今回の攻撃は、ターム・ファイナンスのボルトの基盤技術であるイヤーン・ファイナンス（Yearn Finance）自体の脆弱性によるものではなかった。タームの戦略ボルトはYearn V3インフラ上に構築されているが、イヤーン側は、攻撃はボルトに追加されたターム独自のガバナンスラッパーを通じて起きたと指摘した。一般的なイヤーンのボルトには同じ攻撃手法は適用されず、預け入れ資産も安全だと付け加えた。

ターム・ファイナンスは、ガバナンス取引に7日間のタイムロックと流動性供給者（LP）の拒否権を設けていたにもかかわらず、攻撃を防げなかった。タームは、攻撃者がどの権限を悪用したのか、既存のガバナンス安全装置がなぜ正常に作動しなかったのかをなお明らかにしていない。

ディファイラマによると、攻撃直前のターム・ファイナンスのボルトの総預かり資産（TVL）は約1245万ドル（約19億8000万円）だった。今回の被害額はボルト全体のTVLの約68%に相当する。イーサリアムネットワークに預けられていたボルト資産は約880万ドル（約14億円）で、事実上その大半が流出した計算になる。