Protokol peminjaman terdesentralisasi Term Finance kehilangan $8,5 juta akibat eksploitasi mekanisme pengelolaan, sementara kontrak pintar tidak diretas. Penyerang memanfaatkan karakteristik sistem pemungutan suara di penyimpanan Meta Vaults dan menarik dana melalui proposal sah yang mendapatkan dukungan berkat partisipasi yang sangat rendah dari pemegang token. Tim pengembang Term Labs mengonfirmasi insiden tersebut dan melaporkan penutupan permanen semua Meta Vaults dengan pencabutan peran DAO, sementara protokol dasar dan pasar pinjaman langsung tetap tidak terdampak.
Mekanika Pengambilalihan Kendali Pemungutan Suara
Keberhasilan serangan ini dimungkinkan karena ketidaksesuaian antara partisipasi ekonomi dan hak suara dalam ekosistem protokol. Saat menyetorkan dana ke penyimpanan, pengguna menerima token tanda terima tmvETH, yang mengkonfirmasi kepemilikan saham dalam pool, tetapi aset ini sendiri tidak memberikan hak untuk berpartisipasi dalam pengelolaan. Untuk mendapatkan hak suara, tanda terima tersebut harus dikonversi secara terpisah menjadi token khusus gtmvETH, namun sebagian besar penyetor mengabaikan langkah ini. Pelaku jahat hanya menyetor 0,5 $ETH, menerima 0,485 tmvETH dan membungkusnya menjadi token pemungut suara. Pangsa modalnya yang sebenarnya di penyimpanan hanya 0,017%, tetapi di antara surat suara yang diterbitkan, ia mengendalikan 90,66% suara.
Aturan pengelolaan juga berkontribusi pada pelaksanaan eksploitasi. Setiap pengguna dapat membuat proposal bahkan tanpa memiliki hak suara, dan untuk mencapai kuorum hanya diperlukan partisipasi 5% dari surat suara yang diterbitkan. Untuk keputusan diambil, cukup dengan mayoritas sederhana. Setelah memenangkan pemungutan suara, penyerang mengusulkan untuk menonaktifkan penundaan tujuh hari untuk penarikan dana, menghubungkan kontraknya sendiri, dan mengalihkan aset penyetor ke sana. Proposal, yang berisi 17 tindakan, tersedia secara terbuka di blockchain selama sekitar 145 jam. Selama hampir enam hari, pemberitahuan tentang penonaktifan mekanisme keamanan dan penarikan dana yang akan datang sebenarnya diposting di ledger publik, tetapi tidak ada yang memanfaatkan kesempatan untuk memveto atau menentang keputusan tersebut.
Kronologi Penarikan Dana dan Reaksi Tim
Pemungutan suara berakhir pada 23 Agustus 2026, dan hanya 12 detik setelah jendela ditutup, fungsi executeProposal dieksekusi. Tindakan pertama proposal meniadakan penundaan tujuh hari (timelock), yang memungkinkan penarikan instan aset dari sub-penyimpanan Shorewoods $ETH, August Digital $ETH, Parity Prime $ETH dan Parity Core $ETH. Dana dialihkan melalui strategi khusus yang ditambahkan "Fixed Recipient WETH Exit Strategy" ke alamat penyerang. Total 2,841 WETH ditarik. Setelah itu, operasi serupa terjadi di lima penyimpanan $USDC, di mana 1.679.639 koin diambil. Semua dana dikonsolidasikan di satu dompet.
Analis PeckShield memperkirakan total kerusakan sekitar $8,5 juta, termasuk sekitar 2.843 $ETH (sekitar $6,87 juta) dan 1,68 juta $USDC, yang kemudian ditukar dengan DAI. Pendanaan awal serangan dilakukan melalui Tornado Cash: dompet penyerang menerima 1 $ETH dari mixer ini pada 17 Agustus 2026. Setelah konfirmasi insiden, tim Term Labs menyatakan bahwa semua peran pengelolaan DAO telah dicabut, dan penutupan Meta Vaults bersifat permanen dan memblokir penyetoran baru. Namun, penarikan untuk pengguna tetap terbuka. Pengembang infrastruktur Yearn V3, tempat penyimpanan ini dibangun, secara terpisah mencatat bahwa vektor serangan hanya terkait dengan cangkang kustom Term dan tidak mempengaruhi produk standar Yearn.
Kerentanan Sistemik Pengelolaan Terdesentralisasi
Insiden ini menunjukkan risiko kritis yang muncul ketika ambang batas partisipasi dalam pengelolaan rendah dan tidak ada aktivitas wajib dari para pemangku kepentingan. Kuorum dan nilai ambang batas memungkinkan siapa saja untuk membuat proposal, dan ketika pemilik token LP pasif, kendali atas surat suara yang diterbitkan beralih ke bagian modal terkecil. Mekanisme keamanan, seperti penundaan waktu dan hak veto, terbukti tidak efektif karena penyerang memiliki kemampuan teknis untuk menonaktifkan perlindungan dari dalam proposal itu sendiri sebelum dieksekusi. Menurut analisis on-chain yang dipelajari secara mendalam oleh para ahli, proposal tersebut tersedia secara terbuka selama sekitar enam hari, dan satu-satunya suara diberikan oleh penyerang itu sendiri.
Sebelum insiden, total nilai terkunci (TVL) di penyimpanan Term Finance sekitar $12,45 juta, di mana sekitar $8,8 juta berada di jaringan Ethereum. Jumlah yang ditarik sesuai dengan sekitar 68% TVL produk ini. Situasi ini mengindikasikan perlunya peninjauan arsitektur pengelolaan dalam protokol DeFi, di mana hak suara secara otomatis dikaitkan dengan partisipasi ekonomi, dan parameter kuorum serta penundaan dilindungi dari modifikasi dalam proposal biasa. Status protokol saat ini mengasumsikan fungsionalitas pasar pinjaman dasar tetap terjaga sementara segmen Meta Vaults dihentikan sepenuhnya.
Peretasan Term Finance melalui mekanisme pemungutan suara mengungkap masalah mendasar dalam desain sistem pengelolaan dengan partisipasi rendah dan hak suara yang dapat dipisahkan. Penarikan 68% TVL produk melalui prosedur sah menegaskan bahwa kebenaran formal eksekusi kontrak pintar tidak menjamin keamanan aset jika terdapat kesalahan arsitektur dalam logika pengambilan keputusan.
Pendapat AI
Situasi ini menunjukkan masalah klasik "kuorum kosong", di mana aktivitas minimal diinterpretasikan oleh sistem sebagai konsensus sah. Statistik mengkonfirmasi bahwa selama sepuluh tahun terakhir, peretas telah mencuri lebih dari $17 miliar, dan penyebab utama kerugian bukanlah kerentanan kode, tetapi kompromi kunci dan logika pengelolaan. Arsitektur teknis protokol sering memungkinkan perubahan parameter keamanan dengan mekanisme yang sama yang seharusnya melindungi parameter tersebut.
Mesin melihat di sini bukan kesalahan kode, tetapi konsekuensi tak terhindarkan dari desain di mana keheningan mayoritas disamakan dengan persetujuan. Haruskah sistem terdesentralisasi menerapkan batasan konstitusional yang ketat pada perubahan aturan keamanan dasar, bahkan jika itu bertentangan dengan ide kedaulatan penuh komunitas?
