Seorang penyerang mengambil alih kontrol mayoritas tata kelola Term Labs bermodalkan $951 dan memindahkan dana $8,5 juta. Tim Term Labs mengkonfirmasi insiden ini lewat platform X pada 23 Agustus 2026, sebuah temuan yang kemudian diverifikasi independen oleh firma keamanan PeckShield dan CertiK. Penyerang dengan alamat dompet 0xD5183d8BfC65a50863C62aF2538198A8288FFc13 menguras uang ini dari empat vault strategi USDC dan Ethereum Meta Vault lewat proposal tata kelola yang sah dari sudut pandang teknis.
Berbeda dari kebanyakan pembobolan kripto yang mengandalkan kerumitan kode, serangan ini tidak melibatkan taktik reentrancy, manipulasi oracle, ataupun skema flash loan. Sistem governance Term Labs bekerja persis seperti rancangan aslinya. Penyerang cukup membeli token di pasar bebas untuk meraih mayoritas suara, mengajukan proposal pemindahan dana ke dompetnya sendiri, dan mengeksekusinya tanpa rintangan.
Tanpa Jeda dan Tanpa Pengawasan
Mulusnya operasi ini bermuara pada absennya lapisan pengaman di dalam protokol. Sistem tata kelola Term Labs tidak memiliki mekanisme time lock yang memberi jeda sebelum eksekusi. Mereka juga tidak menerapkan persetujuan multi-sig atau tinjauan sekunder di antara proses voting dan pemindahan aset. Begitu proposal memenangkan suara terbanyak, sistem langsung mengalirkan $8,5 juta ke alamat penyerang.
Platform Term Finance beroperasi sebagai penyedia fasilitas pinjaman suku bunga tetap lewat lelang on-chain. Pihak protokol menyatakan infrastruktur pinjaman inti mereka tidak ikut terdampak oleh pengurasan vault ini. Yearn Finance juga mengeluarkan klarifikasi bahwa letak kerentanan murni berlokasi di lapisan governance kustom milik Term Labs yang dibangun di atas infrastruktur Yearn V3, bukan pada kerangka kerja Yearn.
Taktik Identik yang Terus Berulang
Pembobolan Term Labs menandai eksploitasi tata kelola kelima di tahun 2026, sekaligus insiden kedua dalam tujuh pekan terakhir. Tujuh minggu sebelumnya, BonkDAO diretas menggunakan metode serupa. Bedanya hanya pada skala modal awal: penyerang BonkDAO perlu membeli token BONK senilai $4 juta untuk menguasai 99,878% suara mayoritas, lalu memanfaatkan hak pilih itu untuk menyedot aset sekitar $20 juta dari perbendaharaan proyek.
๐ Baca JugaCME Group Pasang Indeks Harga ENA di 3 Zona Waktu - Bukan ETF, Tapi Langkah Awal Derivatif Institusi
Dua insiden identik dalam rentang berdekatan membuktikan celah struktural tata kelola DAO belum banyak ditambal. Ketika sebuah brankas jutaan dolar bisa dibuka hanya dengan membeli suara mayoritas tanpa pengunci waktu, penyerang tidak lagi butuh keahlian meretas smart contract. Mereka cukup datang sebagai investor biasa, merogoh modal $951, dan mematuhi aturan main protokol untuk mengosongkan kasnya.
Dilansir dari crypto.news.
Baca juga: Apa Itu DeFi (Decentralized Finance)?
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
