Term Labs a confirmé le 23 août qu'un exploit de gouvernance avait affecté ses coffres-forts de prêt. Les sociétés de sécurité blockchain ont estimé que l’attaquant avait extrait environ 8,5 millions de dollars de crypto-monnaie.
Résumé
- Term Labs a confirmé qu'un exploit de gouvernance avait affecté ses coffres tandis que les enquêteurs évaluaient l'intégralité des dégâts.
- CertiK a estimé les pertes à près de 8,5 millions de dollars, mais Term Labs n'a pas confirmé publiquement ce chiffre.
- L'adresse identifiée détenait environ 2 843 ETH et 1,6 million de DAI après les transactions d'attaque.
- PeckShield a retracé le financement initial de deux ETH de l'exploitant jusqu'à Tornado Cash avant le début des transactions du coffre-fort.
- Term Labs n'a pas annoncé de récupérations, de conditions de remboursement, de pauses contractuelles ou d'autopsie technique terminée.
Le protocole a indiqué qu’il enquêtait et qu’il publierait des informations supplémentaires par la suite. Il n'a pas confirmé l'estimation des pertes, identifié les coffres concernés ni expliqué comment l'attaquant a pris le contrôle de la gouvernance.
Term Labs confirme son exploit de gouvernance de coffre-fort
« Nous sommes conscients d'un exploit de gouvernance affectant les coffres Term », a déclaré Term. « Nous partagerons plus de détails une fois que l'enquête aura été plus approfondie. »
Le communiqué ne précise pas si Term Labs a suspendu les dépôts, les retraits ou les fonctions de gouvernance. Il n’a également identifié aucun contrat que les utilisateurs devraient éviter. Aucune proposition de récupération, engagement de remboursement ou date limite d'autopsie n'avaient été annoncés au moment de la préparation de ce rapport.
Term Labs exploite un système de prêt décentralisé construit autour d’emprunts et de prêts à taux fixe. Ses coffres stratégiques allouent les fonds déposés via des contrats programmés. Le protocole n'indique pas si chaque coffre-fort a été exposé ou si l'incident a affecté uniquement des déploiements spécifiques.
Les sociétés de sécurité estiment les pertes à 8,5 millions de dollars
CertiK a classé l'incident comme une attaque de gouvernance et a estimé la perte à environ 8,5 millions de dollars. Ce montant reste une estimation externe plutôt qu'un chiffre confirmé par Term Labs.
PeckShield a rapporté que l'exploiteur avait drainé environ 2 843 ETH, évalués à l'époque à environ 6,87 millions de dollars, plus 1,68 million d'USDC. Selon ses recherches, l'attaquant a ensuite échangé l'USDC contre environ 1,68 million de DAI.
Ces montants soutiennent largement l'estimation de CertiK. Cependant, les valorisations peuvent changer en fonction des prix des actifs, des frais de transaction et des transferts ultérieurs. Une comptabilité complète nécessitera que Term Labs identifie chaque coffre-fort concerné et rapproche les transactions pertinentes.
Les résultats ressemblent également à d’autres attaques récentes contre des fonds contrôlés par le protocole. Dans le même ordre d’idées, un exploit du coffre-fort Summer.fi aurait coûté environ 6 millions de dollars. Cette affaire concernait différents contrats et n’établit pas comment l’incident de Term Labs s’est produit.
Le mécanisme de gouvernance n’est toujours pas confirmé
Term Labs a décrit l'événement comme un exploit de gouvernance, mais ni le protocole ni les sociétés de sécurité citées n'ont publié une explication complète au niveau de la transaction. On ne sait toujours pas si l'attaquant a accumulé le pouvoir de vote, abusé d'une autorisation existante ou exploité une faiblesse du processus de proposition.
Les attaques de gouvernance peuvent permettre à une entité d’utiliser des fonctions de vote ou d’administration autorisées pour transférer des actifs de protocole. Comme crypto.news l'a expliqué précédemment après l'attaque de gouvernance de BonkDAO, des règles de quorum faibles, un pouvoir de vote concentré et des retards d'exécution manquants peuvent exposer les fonds contrôlés. Ces risques sont des exemples généraux et non des causes confirmées dans l’affaire Term Labs.
PeckShield a également signalé que l'adresse de l'attaquant avait initialement reçu 2 ETH de Tornado Cash. Le transfert masque la source de financement antérieure du portefeuille, mais il n'identifie pas l'attaquant ni ne prouve qui contrôlait l'adresse.
Une connexion Tornado Cash doit donc être traitée comme une piste de financement en chaîne, et non comme une découverte d'attribution. Les enquêteurs auront besoin d'enregistrements d'échange, de regroupement de portefeuilles ou d'autres preuves pour relier l'adresse à une personne ou une organisation.
Term Labs doit toujours aux utilisateurs un délai de récupération
La prochaine mise à jour vérifiée devrait établir quels coffres-forts et contrats ont été affectés. Les utilisateurs ont également besoin de confirmer si les dépôts, les retraits, le vote de gouvernance et l'exécution de la stratégie restent actifs.
Un rapport technique documenterait normalement les transactions malveillantes, le chemin de contrôle et les mesures de protection qui ont échoué. Term Labs n’a pas annoncé quand il publierait ce matériel. Il n’a pas non plus révélé s’il avait contacté l’attaquant, les forces de l’ordre, les émetteurs de stablecoins ou les bourses centralisées.
Tout plan de remboursement nécessiterait une perte totale confirmée et une évaluation claire des actifs récupérables. Comme crypto.news l'a rapporté à la suite d'une autre violation de DeFi, le plan de récupération de Resupply a utilisé des paiements du Trésor, des fonds d'assurance et l'approbation de la gouvernance. Term Labs n’a pas proposé de processus comparable.
Jusqu'à ce que l'enquête soit terminée, le chiffre de 8,5 millions de dollars et les soldes d'actifs déclarés restent des estimations de recherche en matière de sécurité. La seule divulgation confirmée du protocole est qu'un exploit de gouvernance a affecté les coffres-forts Term.