Pelajaran yang Dipetik dari Term Finance Terkait 8,5 Juta Dolar AS

Pada 23 Agustus, 2.843 ETH dan 1,68 juta USDC lenyap dari brankas Term Finance. Total kerugian tersebut sekitar 8,5 juta dolar AS. Menariknya, kali ini tidak ada kerentanan smart contract maupun serangan flash loan. Penyerang langsung mengambil alih kendali atas pemungutan suara tata kelola protokol.

Bagaimana Serangan Ini Berlangsung?

Dalam peristiwa yang dikonfirmasi oleh CertiK dan PeckShield, penyerang memperoleh kendali penuh atas pemungutan suara di empat dari lima brankas strategi USDC; di Ethereum Meta Vault, mereka mencapai sekitar 91% kekuatan suara. Dengan mayoritas sebesar itu, hanya ada satu hal yang perlu dilakukan: meloloskan pemungutan suara untuk mengalihkan dana ke dompet mereka sendiri. Dan itulah yang dilakukan penyerang.

Hal yang benar-benar mencolok adalah awalnya. Seluruh operasi ini dimulai hanya dengan 2 ETH sebagai modal awal dari Tornado Cash. Dari jumlah kecil tersebut, penyerang berhasil membangun kekuatan suara yang mengendalikan simpanan pengguna senilai jutaan dolar. USDC yang dicuri segera dikonversi menjadi sekitar 1,6 juta DAI dan dikonsolidasikan dalam satu alamat dompet (diawali dengan 0xD5183).

Mengapa Ini Penting?

Hal ini patut dipertimbangkan: berbeda dengan serangan tata kelola, kerentanan reentrancy, atau kesalahan kode, serangan ini tidak memerlukan keahlian teknis. Serangan tersebut menyusup secara diam-diam melalui smart contract yang tampaknya sempurna dan telah diaudit. Meskipun protokol umumnya menyederhanakan keamanan menjadi audit kode, mekanisme pemungutan suara itu sendiri dapat menjadi permukaan serangan — dan ini merupakan ancaman yang belum dipersiapkan dengan baik oleh industri.

Tim Term Labs mengonfirmasi insiden tersebut dan secara khusus menegaskan bahwa ini bukan kerentanan smart contract. Perusahaan itu memiliki insiden lain dalam sejarahnya: pada Mei 2025, kerugian sekitar 1,5 juta dolar AS terjadi akibat kesalahan desimal pada oracle selama pembaruan rutin, tetapi hal itu tidak berbahaya, dan dana tersebut kemudian dipulihkan. Kali ini, ceritanya sama sekali berbeda; pihak eksternal sengaja menargetkan mekanisme demokratis yang digunakan protokol untuk mengelola treasury dan strateginya.

Pelajaran bagi Pengguna DeFi

Peristiwa ini menambah satu lagi pelanggaran keamanan ke lanskap DeFi pada Agustus. Pesannya jelas: sekuat apa pun smart contract suatu protokol, distribusi dan konsentrasi pemungutan suara token tata kelola merupakan faktor risiko yang sama pentingnya dengan kode itu sendiri. Struktur apa pun yang memungkinkan akumulasi kekuatan suara signifikan dengan modal kecil tetap rentan terhadap serangan serupa.

Ada pelajaran praktis bagi siapa pun yang menyimpan aset kripto di protokol DeFi: mereka perlu mengevaluasi dana bukan hanya berdasarkan laporan audit smart contract, tetapi juga berdasarkan seberapa rentan struktur tata kelola protokol tersebut terhadap sentralisasi. Meninjau kembali portofolio dan risiko dengan mempertimbangkan hal ini mungkin merupakan langkah paling bijaksana minggu ini.