Eksploit Tata Kelola Term Labs Rugikan Term Finance US$8,5 Juta, Penyerang Ambil Alih Strategy Vault

Term Finance, protokol pinjam-meminjam berbunga tetap di Ethereum besutan Term Labs, dilaporkan kehilangan sekitar US$8,5 juta setelah pelaku mengumpulkan kekuatan suara secara diam-diam hingga mampu mengambil alih kendali strategy vault. Insiden ini dikonfirmasi oleh perusahaan keamanan CertiK dan PeckShield. Dana yang terkuras diperkirakan mencakup sekitar 2.843 ETH dan kurang lebih 1,6 juta DAI, seluruhnya mengalir ke satu alamat dompet. Serangan pada 23 Agustus ini disebut sebagai manipulasi tata kelola, bukan eksploitasi bug kode. Pelaku berhasil menguasai 100% hak suara pada empat dari lima USDC strategy vault serta sekitar 91% pada Ethereum Meta Vault. Dengan mayoritas tersebut, pelaku meloloskan pemungutan suara untuk menguras dana dan mengarahkannya ke satu alamat yang diawali 0xD5183. Sumber dana awal disebut hanya 2 ETH yang berasal dari Tornado Cash. Dari modal kecil itu, pelaku membangun posisi voting yang cukup untuk mengambil alih vault yang menampung simpanan pengguna bernilai jutaan dolar. Term Labs mengakui adanya masalah tata kelola secara terbuka dan menyatakan masih perlu investigasi lanjutan. Tim menegaskan kejadian ini berbeda dari kerentanan smart contract. Insiden ini menambah catatan kerugian sebelumnya. Pada Mei 2025, Term Finance sempat kehilangan sekitar US$1,5 juta akibat ketidaksesuaian desimal oracle saat pembaruan rutin. Kasus tersebut tidak bersifat malicious dan dana akhirnya dikembalikan. Term Labs memperoleh pendanaan tahap seed sebesar US$2,5 juta pada awal 2023 di bawah pimpinan pendiri sekaligus CEO Dion Chu. Nilai jual protokol ini berfokus membawa struktur suku bunga tetap ala TradFi ke pinjaman on-chain melalui produk berbasis overcollateralized dengan karakter mirip fixed income. Kasus Term Finance menyoroti risiko yang kerap diabaikan di DeFi: serangan tata kelola tidak menuntut keahlian teknis setingkat flash loan exploit atau reentrancy. Pelaku memanfaatkan mekanisme demokrasi yang dipakai protokol terdesentralisasi untuk mengelola treasury dan mengubah parameter. Struktur vault Term Finance dinilai belum memiliki guardrail memadai untuk mencegah pengambilalihan kekuatan suara secara hostile. Serangan ini terjadi melalui kontrak yang sudah diaudit tanpa "memecahkan" satu baris kode. Titik lemahnya bersifat arsitektural, berada di persimpangan tokenomics, apatisme pemilih, dan kontrol akses yang kurang ketat pada fungsi pengelolaan vault. Bagi deposan yang terdampak, jalur pemulihan dana masih belum jelas. Berbeda dengan insiden Mei 2025 yang bersumber dari kesalahan internal dan masih dapat dipulihkan, kasus ini melibatkan pihak eksternal yang menyalurkan modal awal lewat Tornado Cash, alat yang dirancang untuk memutus keterkaitan on-chain antara pengirim dan penerima.