イーサリアム上のDeFi「Term Finance」、ガバナンス攻撃で約850万ドル流出

暗号資産のセキュリティ被害が再び表面化した。8月23日、イーサリアム（ETH）上で貸借サービスを提供するDeFiプロトコル「Term Finance」が攻撃を受け、約850万ドル相当が不正流出した。 今回の手口は、スマートコントラクトの脆弱性を突く直接的な侵入ではなく、DAOガバナンスの弱点を悪用するものだった。市場で流通しているTermのガバナンストークンが相対的に少ない状況を背景に、攻撃者は低コストでトークンを買い集め、議決の過半数を確保。可決に必要な票を得た後、悪意あるガバナンス提案を提出・承認させ、ユーザー資産を保管するTerm Financeのボルト（vault）の支配権を握ったとされる。 報告によれば、攻撃者はTornado Cash経由の2 ETHで作戦資金を調達した上で実行。流出は合計で約2,843 ETH（約687万ドル）とUSDC約168万枚に及び、USDCなどをおよそ168万DAIへスワップしたという。 被害の拡大は、イーサリアム周辺で続くセキュリティ事件とも重なる。Blockaidのセキュリティレポートによると、2026年上期（H1）における暗号資産の盗難・詐欺被害は10億ドルを超え、イーサリアムが約3億3,200万ドルで最大の損失シェアを占めた。損失の主因は、ブリッジ、特権アカウント、プロトコルロジックなどを起点とするスマートコントラクト／アプリケーション層のエクスプロイトだという。 関連して、VerusEthereum Bridgeは7月に2度目の攻撃を受け、約754万ドルが流出したと報じられている。5月にも同種の攻撃で約1,158万ドルが失われており、初回の脆弱性対応が十分だったのか疑問視する声が強まっている。 市場面では、ETHは1月中旬に4,000ドル近辺で推移していたが、記事執筆時点では2,412ドルまで下落。CoinGeckoの年次データでは過去1年で48.9%下落しており、ハッキング被害に加え、規制の不透明感、地政学リスク、米FRBの利下げなど複数要因が重なった格好だ。 要点：攻撃者はガバナンストークンを低コストで買い占めて過半数の議決権を獲得し、悪意ある提案の承認を通じて資産ボルトを掌握した。2026年上期の暗号資産詐欺・盗難における資金損失では、イーサリアムが約3億3,200万ドルで最大だった。