Term Labs因治理漏洞损失850万美元,以太坊金库遭抽干

Term Labs确认850万美元治理漏洞资金流失

Term Labs,一个去中心化借贷协议,在周日遭遇治理漏洞攻击,其Term金库被抽走约850万美元。区块链安全公司PeckShield的警报显示,攻击者从协议中移除了2,843枚以太坊(ETH)和168万枚USDC。PeckShield将ETH部分估值687万美元,稳定币部分为168万美元。USDC随后被兑换成约168万枚DAI,DAI是一种抵押支持的稳定币,与算法稳定币不同。链上数据显示,攻击者的钱包最初从Tornado Cash收到2枚ETH,Tornado Cash是一种常被用于掩盖交易轨迹的混币服务;这种混币资金通常是链上盗窃的前兆,因为它切断了与交易所存款的联系。Term Labs在其官方X账号上确认了该事件,并表示:“我们注意到一个影响Term金库的治理漏洞。在进一步调查后我们将分享更多细节。”目前尚未披露被滥用的具体治理功能。Term Labs通过链上拍卖提供固定利率借贷,这与0x协议提供的代币交换基础设施不同。DefiLlama数据显示,各金库锁定的总价值为1,220万美元,其中860万美元在以太坊上。该协议也是反复被攻击的目标:据DefiLlama数据,Term Finance在2025年4月因预言机配置错误损失165万美元。治理攻击在2026年虽罕见但代价高昂,DefiLlama在此之前已将五起此类事件归类为总计2,510万美元。此次漏洞是本月一系列安全事件的最新一起,凸显了单次恶意治理行动如何能从一个依赖社区监督的协议中转移资金。PeckShield的警报仍是被盗资产及后续代币兑换的主要公开记录,而协议自身的声明则指向正在进行的调查。

八月漏洞损失超过2700万美元

在此次资金流失之前,DefiLlama统计8月份共发生17起安全事件,损失约1,880万美元;加上这850万美元,本月损失超过2,700万美元。7月更为严重,发生38起事件,损失约2.54亿美元,其中1.16亿美元来自Coldcard钱包固件缺陷;即使排除这一单一事件,7月剩余损失也超过了8月的当前总额。Harmony、Coinsbuy和Sandbox也在8月遭受攻击:Harmony被未经授权铸造了约40亿枚代币,Coinsbuy损失790万美元,Sandbox在周六解决了SAND桥接漏洞。此类攻击虽不常见但代价高昂;DefiLlama列出了2026年五起与治理相关的事件,总计2,510万美元,其中最大的是7月对BonkDAO的2,000万美元恶意提案。Term Labs资金流失是治理失败的最新例子,DefiLlama将这一类别与智能合约漏洞和桥接攻击分开追踪。这种区分对安全团队很重要,因为修复往往涉及流程变更,例如更严格的提案审查和多签要求,而非简单的代码补丁。8月的总额仍低于7月,但不同攻击向量的数量使安全团队保持警惕。鉴于金库TVL为1,220万美元,这850万美元的流失代表了用户资金的很大一部分,而攻击者通过Tornado Cash路由初始资金的决定使追踪复杂化。被盗资产是主要山寨币和稳定币的混合,但攻击向量是治理而非市场波动。数据表明安全事件并不局限于任何单一类型的协议;借贷平台、桥接、支付处理器和钱包供应商今年都已成为目标。对于Term Labs而言,当务之急是识别被滥用的治理功能并确定是否存在任何恢复机制。在此之前,该事件仍是一个未决案例,而本月已经考验了行业的应急响应手册。

事后审查待定,治理风险持续

Term Labs资金流失和8月更广泛的总额都指向同一结论:治理功能仍然是去中心化金融中的高价值目标。我们对链上记录的解读确认攻击者从Term金库移走了2,843枚ETH和168万USDC。Term Labs尚未披露被滥用的确切治理功能,也未发布完整的事后报告,因此根本原因在团队调查完成前仍未确认。在该报告发布之前,拥有社区控制参数的协议(例如像Aave这样的借贷平台)必须将提案审查视为安全控制而非形式。下一项实质性更新将是Term Labs的官方事件报告,该报告应阐明补救措施以及受影响用户能否期待恢复。