Co se stalo?
DeFi lendingový protokol Term Finance přišel podle serverů Cointelegraph a The Block o odhadovaných 8,5 milionu dolarů při útoku na jeho takzvané Meta Vaults. DeFi (decentralizované finance) označuje finanční aplikace běžící na blockchainu bez centrálního prostředníka. Vault je v tomto kontextu smart kontrakt, do kterého uživatelé ukládají prostředky výměnou za výnos.
Podle Cointelegraph útok odčerpal téměř všechny ethereové (ETH) vklady z těchto vaultů. Term Finance následně své Meta Vaults natrvalo uzavřela.
Jak k obejití ochran došlo?
Tohle je jádro příběhu a zároveň to, co zatím není plně objasněné. The Block uvádí, že návrhy (proposals) pro vaulty Term Finance podléhaly sedmidennímu zpoždění a poskytovatelé likvidity je mohli vetovat. Tyto kontrolní mechanismy měly sloužit přesně k tomu, aby škodlivý zásah do správy protokolu zachytily dřív, než se provede.
Podle The Block ale tyto pojistky útok zjevně nezastavily. Jak konkrétně se je podařilo obejít, z dostupných zdrojů zatím jednoznačně nevyplývá. To, zda šlo o chybu v kódu, o převzetí governance, nebo o kombinaci faktorů, zůstává v tuto chvíli nepotvrzené.
Kolik přesně bylo ztraceno?
Obě klíčová média, Cointelegraph i The Block, pracují s číslem přibližně 8,5 milionu dolarů a označují ho jako odhad. Cointelegraph popisuje ztrátu jako téměř všechny ETH vklady dotčených vaultů. Přesnou finální částku a její definitivní ověření on-chain zatím nemáme potvrzené z primárního zdroje protokolu.
Širší kontext: nebyl to jediný bezpečnostní incident
Případ Term Finance zapadá do rušnějšího období z pohledu bezpečnosti kryptoinfrastruktury. Nejde ale o související události, jen o časovou shodu, kterou je vhodné oddělit:
| Incident | Čeho se týká | Zdroj |
|---|---|---|
| Term Finance | Exploit vault governance, ~8,5 mil. USD | Cointelegraph, The Block |
| The Sandbox | Zastavení bridgingu na Base a BNB Chain po exploitu, dopad pod 0,01 % supply SAND | CoinDesk |
| Coldcard (Coinkite) | Nový firmware vyžadující fyzickou entropii při generování seedu po zranitelnosti | CryptoSlate |
Podle CoinDesk web3 herní síť The Sandbox pozastavila bridging na sítích Base a BNB Chain, aby izolovala tokeny, a varovala uživatele, aby s tokenem SAND na Base a BNB neobchodovali. The Sandbox uvádí dopad pod 0,01 % supply.
Podle CryptoSlate výrobce hardwarové peněženky Coldcard, firma Coinkite, vydal 20. srpna nový standardní firmware, který při generování seedu vyžaduje přidání fyzické náhodnosti (minimálně 65 stisků kláves v nepravidelných intervalech). Majitelé, kteří spoléhají na seed vytvořený zasaženým firmwarem, musí podle CryptoSlate vygenerovat nový seed a přesunout prostředky, pokud jejich peněženka nesplňuje výjimku pro kostkový postup.
Tyto tři případy spolu nemají technickou souvislost. Spojuje je jen to, že ilustrují různé vrstvy rizika: chytré kontrakty a governance (Term Finance), mosty mezi sítěmi (The Sandbox) a generování klíčů na hardwaru (Coldcard).
Co u tohoto typu událostí sledovat
Bez rady, co dělat s penězi, jen jako nástroj pro čtení podobných situací: u exploitů governance je klíčové, zda tým zveřejní post mortem s přesným popisem, jak byly obejity časové zámky a veto poskytovatelů likvidity, jaká je definitivní vyčíslená ztráta ověřená on-chain, a zda existuje plán kompenzace. Dokud tyto informace nejsou potvrzené, jde stále o odhady.
charliedesk bude tento případ držet na seznamu k ověření a v případě oficiálního post mortem od Term Finance srovná, co se potvrdilo oproti dnešnímu stavu.