Term Labs getroffen door governance exploit, aanvaller maakt $8,5 miljoen buit

DeFi leenprotocol Term Labs is getroffen door een governance exploit waarbij ongeveer $8,5 miljoen uit verschillende vaults verdwijnt. Beveiligingsonderzoekers volgen inmiddels een wallet die duizenden Ethereum en miljoenen aan stablecoins ontvangt. Term Labs onderzoekt het incident en heeft nog geen volledige analyse van de aanval gepubliceerd.

Aanvaller haalt duizenden Ethereum uit Term vaults

Volgens blockchainbeveiliger PeckShield richt de aanval zich op de governance van de Term vaults. De aanvaller weet daarmee ongeveer 2.843 Ethereum ter waarde van circa $6,87 miljoen en 1,68 miljoen USDC ter waarde van $1,68 miljoen weg te halen.

De gestolen USDC blijft niet lang in die vorm staan. PeckShield ziet dat de aanvaller de volledige hoeveelheid omwisselt voor ongeveer 1,68 miljoen DAI. Daarmee komt de totale buit uit op ongeveer $8,5 miljoen.

De meegestuurde blockchaintransactie laat daarnaast zien dat posities via Aave worden afgewikkeld. Zo wordt in één van de zichtbare transacties ruim 44,37 aEthWETH verbrand en ongeveer 44,37 WETH opgenomen, op dat moment goed voor ruim $107.000.

Opvallend is ook de herkomst van het eerste geld in de wallet van de aanvaller. Het adres ontvangt aanvankelijk 2 Ethereum via Tornado Cash. Een dergelijke transactie maakt op zichzelf niet duidelijk wie achter de wallet zit, maar bemoeilijkt wel het volgen van de oorspronkelijke herkomst van het geld.

Governance exploit legt risico van DeFi vaults bloot

Bij een governance exploit misbruikt een aanvaller mechanismen waarmee instellingen, parameters of rechten binnen een protocol worden beheerd. In dit geval lijkt die aanval specifiek gevolgen te hebben voor de vaults van Term Labs.

PeckShield spreekt van ongeveer $8,5 miljoen aan gestolen crypto. Ook beveiligingsbedrijf CertiK signaleert het incident. Term Labs bevestigt dat het onderzoek doet, maar deelt voorlopig nog geen uitgebreide technische uitleg over de precieze kwetsbaarheid.

Dat betekent dat nog verschillende vragen openstaan. Zo is niet duidelijk hoe de aanvaller de benodigde governance rechten verkrijgt, welke vaults precies worden geraakt en of alle getroffen onderdelen inmiddels veilig zijn.

Term Labs werkt ondertussen aan het in kaart brengen van de schade en belooft meer informatie te publiceren zodra het onderzoek verder gevorderd is. Totdat een volledige analyse beschikbaar komt, blijft vooral onduidelijk of aanvullende maatregelen nodig zijn om nieuwe aanvallen via dezelfde kwetsbaarheid te voorkomen.