Term Finance 遭「買票」奪權　攻擊者僅花約 2 ETH 盜走 850 萬美元資產

一名攻擊者據稱只動用約 2 ETH 成本，便從固定利率借貸平台 Term Finance 奪走約 850 萬美元資產。8 月 23 日，該攻擊者透過購入足夠投票權，接管平台多個策略金庫（strategy vault），最終轉走約 2,843 ETH（約值 687 萬美元）及 168 萬枚 USDC。整次行動的「種子資金」來源指向已受制裁的以太坊混幣器 Tornado Cash，被盜資產其後全數匯入同一個錢包。 據了解，攻擊者先取得 Term Finance 五個 USDC 策略金庫中四個的 100% 投票控制權，並取得 Ethereum Meta Vault 約 91% 的控制權。當其持票達到「超級多數」後，即可把金庫資金重新導向至任何地址。 受影響金庫運行在 Yearn V3 基礎設施之上，治理框架則由 Term Finance 背後開發團隊 Term Labs 自行定製。保安機構 PeckShield 與 CertiK 均確認事件，並指出攻擊重點在投票／治理機制，而非底層智能合約程式碼本身出現漏洞。 在資金處置方面，被盜的 USDC 隨後被兌換成 DAI。此舉常見於攻擊後的洗錢流程，因為 DAI 不像 USDC 由 Circle 等中心化發行方管理，無法透過黑名單機制凍結資產，令追蹤與攔截難度上升。 這已是 Term Finance 逾一年內第二次重大損失。早在 2025 年 5 月，該協議曾因系統升級期間的預言機（oracle）錯誤而損失約 150 萬美元，當時資金最終得以追回。Term Labs 已承認今次入侵並表示正展開調查，但仍未披露是否有望追回資金或後續補救方案。 事件再次凸顯 DeFi 治理設計的老問題：當投票權過於便宜或過度集中，治理本身會由防線變成攻擊面。攻擊者僅花 2 ETH 就能控制持有數百萬美元資產的金庫，反映取得治理影響力的成本，與投票權可支配的資產價值嚴重失衡。類似案例亦曾出現在 2022 年 Beanstalk 事件，攻擊者利用閃電貸推動惡意治理提案，抽走約 1.82 億美元。兩者手法不盡相同，但核心風險一致：只要能以低成本快速集票，治理機制便難以發揮保障作用。 市場常見的防護措施包括：投票結果設置時間鎖（timelock）、提高法定人數（quorum）門檻、限制委託投票或單一地址影響力，以及在金庫操作加入多簽覆核（multisig override）等。這些機制可顯著抬高攻擊成本，避免投票權在短時間內被迅速累積後，立即轉化為對資金的直接控制。