Term Finance Tutup Permanen Meta Vaults Usai Eksploit Tata Kelola, Dana Diperkirakan Terkuras US$8,5 Juta

Term Finance menutup permanen produk Meta Vaults setelah insiden eksploit tata kelola (governance) yang diperkirakan memungkinkan pengurasan dana sekitar US$8,5 juta. Penutupan tersebut menghentikan setoran baru, sementara penarikan tetap dibuka. Term Labs juga mencabut peran tata kelola DAO untuk vault-vault tersebut. PeckShield memperkirakan penyerang menarik sekitar 2.843 ETH senilai US$6,87 juta. Selain itu, penyerang menguras 1,68 juta USDC dan menukarnya menjadi sekitar 1,68 juta DAI. Term Finance belum mengonfirmasi angka total US$8,5 juta dan belum merilis perincian akuntansi per vault. Dokumentasi tata kelola Term Finance menjelaskan mekanisme opt-out: pemegang token penyedia likuiditas vault dapat memveto perubahan parameter yang sudah masuk antrean selama masa jeda tujuh hari. Tanpa veto, perubahan parameter dapat menjadi dapat dieksekusi. Rekonstruksi DeFiPrime menyebut sebuah proposal untuk ETH Meta Vault dibiarkan terbuka selama enam hari tanpa veto. Pada eksekusi pertama, proposal tersebut mengubah cooldown penundaan menjadi nol, lalu mengalirkan 2.841,7435 WETH melalui strategi yang baru ditambahkan ke alamat yang dikendalikan penyerang. Transaksi di jaringan Ethereum itu terjadi pada 23 Agustus pukul 06:25 UTC. Sekitar 22 menit kemudian, transaksi kedua mengeksekusi lima proposal pada lima vault USDC. Analisis yang sama menyebut transaksi tersebut menarik 1.679.639,29 USDC. Term Finance belum menerbitkan laporan post-mortem yang mengonfirmasi bagaimana pengusul memperoleh otoritas untuk memasukkan aksi-aksi tersebut ke antrean. Perusahaan juga belum menjelaskan mengapa mekanisme veto dan kontrol jeda tidak menghentikannya. Yearn menyatakan kontrak vault Term menggunakan arsitektur Yearn V3. Menurut Yearn, eksploit terjadi melalui pembungkus tata kelola (governance wrapper) kustom milik Term, dan vektor serangan ini tidak berlaku pada pengaturan vault Yearn standar. Yearn menegaskan vault Yearn standar tidak terdampak. Term Finance menyampaikan bahwa berdasarkan penyelidikan sementara, protokol inti serta pasar pinjam-meminjam langsung (direct borrowing and lending markets) tidak terpengaruh, meski cakupan insiden masih diverifikasi. Dampak yang terkonfirmasi saat ini terbatas pada produk vault, bukan seluruh pasar Term. Term Finance mengatakan sedang berkoordinasi dengan tim keamanan eksternal untuk remediasi dan pemulihan, serta akan mengeksplorasi cara menutup kekurangan yang tersisa. Perusahaan tidak berkomitmen untuk mengganti kerugian deposan dan tidak memberikan jadwal pemulihan. Penarikan yang tetap dibuka juga tidak otomatis memastikan ketersediaan likuiditas atau nilai untuk setiap penarikan karena akuntansi final belum dikonfirmasi.