به گزارش شبکه اطلاع‌رسانی طلا و ارز و به نقل از کریپتوپولیتن، پروتکل وام‌دهی غیرمتمرکز «ترم فایننس» متعلق به شرکت ترم لبز (Term Labs) هدف یک حمله حاکمیتی قرار گرفت و مهاجم توانست بیش از ۸٫۵ میلیون دلار از صندوق‌های وام‌دهی این پروتکل را خارج کند. این حمله نشان می‌دهد ضعف در طراحی سازوکارهای رأی‌گیری غیرمتمرکز می‌تواند حتی بدون نفوذ به کد قرارداد هوشمند، به از دست رفتن دارایی کاربران منجر شود.
مهاجم برای در دست گرفتن کنترل رأی‌گیری پروتکل تنها چند دلار هزینه کرد. ترم فایننس مانند بسیاری از پلتفرم‌های مشابه، به کاربران اجازه می‌داد سپرده خود در صندوق‌ها را به‌صورت اختیاری به توکن حاکمیتی روی بستر آراگون (Aragon) تبدیل کنند. چون بیشتر کاربران این مرحله اختیاری را انجام نداده بودند، مهاجم با تبدیل سهم ناچیز خود توانست عملاً تمام قدرت رأی‌گیری چهار صندوق از پنج صندوق پروتکل را در اختیار بگیرد؛ یعنی با سرمایه‌ای ناچیز، نفوذ کامل بر تصمیم‌های حاکمیتی به دست آورد.
چگونه صندوق‌ها خالی شد؟
مهاجم در تاریخ ۱۷ آگوست ۲۰۲۶ (۲۶ مرداد ۱۴۰۵) پیشنهادی حاکمیتی ثبت کرد که بخشی از اقدامات آن برای رأی‌دهندگان قابل مشاهده نبود. پس از سپری‌شدن دوره انتظار شش‌روزه که در بسیاری از پروتکل‌های دیفای برای جلوگیری از تصمیم‌های ناگهانی در نظر گرفته می‌شود، مهاجم توانست پارامترهای پنج صندوق وام‌دهی مبتنی بر USDC را تغییر دهد و دارایی‌های آن‌ها شامل اتریوم و دای را برداشت کند.
طبق آخرین گزارش، ارزش کل قفل‌شده در ترم فایننس تا ۲۳ آگوست ۲۰۲۶ (۱ شهریور ۱۴۰۵) به بیش از ۲۵ میلیون دلار می‌رسید و پروتکل ۳٫۹۲ میلیون دلار وام فعال داشت. مجموع دارایی صندوق‌های ترم فایننس پیش از حمله ۱۲٫۲۵ میلیون دلار بود؛ به این ترتیب، این اکسپلویت تقریباً تمام ظرفیت فعال وام‌دهی پروتکل را از بین برد.
داده‌های زنجیره‌ای نشان می‌دهد کیف‌پول مهاجم با ۲ اتریوم از طریق تورنادو کش (Tornado Cash) تأمین مالی شده است؛ الگویی که پیش‌تر در چند اکسپلویت مرتبط با هکرهای کره شمالی نیز مشاهده شده بود. دارایی‌های برداشت‌شده معادل ۱٫۶ میلیون دلار دای و حدود ۶٫۹ میلیون دلار اتریوم در یک کیف‌پول واحد نگهداری می‌شود و برخلاف بسیاری از اکسپلویت‌های مشابه، هنوز از طریق سرویس‌های میکس ارز جابه‌جا نشده است.
زنجیره‌ای از حملات حاکمیتی
حمله به ترم لبز چند روز پس از دو اکسپلویت پرسروصدای دیگر در بازار دیفای، شامل حمله به مایا پروتکل و یک حمله ضرب توکن علیه شبکه ساندباکس، رخ داد. مشارکت پایین کاربران در رأی‌گیری بسیاری از سازمان‌های غیرمتمرکز به یک نقطه‌ضعف تکرارشونده در بازار دیفای تبدیل شده است؛ وضعیتی که به بازیگران بزرگ یا کیف‌پول‌های متمرکز اجازه می‌دهد با هزینه اندک بر تصمیم‌های حاکمیتی مسلط شوند و دارایی سایر کاربران را در معرض خطر قرار دهند.
نظرات کاربران