Eksploit Tata Kelola Term Finance Kuras US$8,5 Juta dari Vault Ethereum

Term Finance, protokol pinjam-meminjam berbasis Ethereum, dilaporkan kehilangan sekitar US$8,5 juta setelah penyerang mengeksploitasi mekanisme tata kelola kustom pada produk vault-nya. Aset yang ditarik secara tidak sah mencakup Ether, USDC, dan DAI, dan insiden ini memangkas hampir 68% likuiditas vault. Term Labs menyatakan di X bahwa eksploit tersebut berdampak pada Term vaults dan memicu investigasi internal. Tim belum mengonfirmasi nilai kerugian maupun merinci Strategy Vault mana yang mengalami penarikan tanpa izin. Estimasi dari PeckShield menunjukkan penyerang menarik 2.843 ETH senilai sekitar US$6,9 juta, serta 1,68 juta USDC. PeckShield juga mencatat USDC itu ditukar menjadi sekitar 1,68 juta DAI. Sementara itu, CertiK menghitung total kerugian mendekati US$8,5 juta berdasarkan penelusuran transaksi on-chain. PeckShield menelusuri aliran aset ke alamat e vlojiz, yang sebelumnya menerima dua ETH dari Tornado Cash. Rute Serangan Berasal dari Lapisan Tata Kelola Kustom Strategy Vault Term mengikuti standar ERC4626 dan berjalan di atas infrastruktur yang dikembangkan dengan arsitektur Yearn V3. Meski demikian, sasaran serangan bukan infrastruktur standar Yearn, melainkan "wrapper" tata kelola kustom yang membungkus vault Term. Yearn menyampaikan di X bahwa metode ini tidak berdampak pada vault yang beroperasi dengan pengaturan standar Yearn. Dalam desainnya, Term memisahkan kewenangan operasional dan pengawasan deposan melalui beberapa peran. Manajer menangani lelang, sedangkan governor mengendalikan parameter risiko, fungsi darurat, dan pengaturan protokol yang lebih luas. Penyedia likuiditas juga berperan sebagai anggota DAO dan dapat memveto transaksi tata kelola selama masa timelock tujuh hari. Term belum menjelaskan peran mana yang berhasil dikompromikan penyerang atau alasan proteksi tersebut gagal. Berdasarkan data DefiLlama, sebelum insiden produk vault Term menampung sekitar US$12,45 juta di berbagai jaringan. Sekitar US$8,8 juta di antaranya berada pada vault yang dideploy di blockchain Ethereum. Dengan demikian, kerugian yang dilaporkan setara dengan hampir 68% dari total nilai terkunci (TVL) produk vault di seluruh jaringan. Kerugian Sebelumnya Menambah Tekanan Term juga mengalami kerugian terpisah sebesar US$1,6 juta pada April 2025 akibat oracle yang salah konfigurasi sehingga memicu likuidasi keliru. Protokol tersebut berhasil memulihkan lebih dari US$1 juta dan berkomitmen menggunakan dana treasury untuk menutup sisa kerugian. Serangan berbasis tata kelola tetap menjadi risiko berulang di DeFi karena pelaku dapat memanipulasi mekanisme voting atau memperoleh kontrol administratif berhak istimewa. Investigasi Term dituntut mengungkap bagaimana penyerang mendapatkan akses tata kelola dan menembus perlindungan yang dirancang untuk deposan.