DeFi融資プロトコルTerm Financeで約8,500,000ドルの資金流出
Ethereum上の固定金利融資プロトコルTerm Financeで、2026年8月23日、ガバナンス機構を悪用した攻撃により約8,500,000ドルが流出した。日本の投資家は、スマートコントラクトだけでなく運営権限も確認する必要がある。
確認できた事実：ガバナンス悪用でボールト資産の大半が流出
Term FinanceのStrategy Vaultsから、約2,843ETHと約168万USDCなど、推定約8,500,000ドル相当の資産が流出した。
Term LabsはXで、Term Vaultsに影響するガバナンス攻撃を把握していると公表した。PeckShieldは流出額を約6,900,000ドル相当のETHと168万USDCと推定し、USDCは約168万DAIに交換されたと説明した。CertiKも損失を約8,500,000ドルと見積もった。流出先は単一アドレスに集約され、同アドレスは当初、Tornado Cashから2ETHを受け取っていた。
We are aware of a governance exploit impacting Term vaults.
— Term Labs (@term_labs) 2026年8月23日
We will share more details once it has been further investigated.
攻撃前のTerm VaultsのTVL（預かり資産総額）は約1,2,450,000ドルで、流出額は全体の約68％に相当する。Ethereum上のTVLは約8,800,000ドルであり、同チェーンの資産のほぼ全てが影響を受けた計算だ。
日本の読者への影響：コード監査だけでなく権限設計が判断材料になる
今回の事例は、DeFiの安全性を評価する際、スマートコントラクトの脆弱性だけでなく、ガバナンス権限と緊急停止手続きを確認すべきことを示す。
TermのVaultsはYearn V3基盤のERC-4626型ボールトだが、Yearnは今回の攻撃がTerm独自のガバナンス・ラッパーを経由したもので、標準的なYearn Vaultsには該当しないと説明した。Termの設計では、マネージャーがオークション運用を担い、ガバナーがリスク設定や価格オラクル、コントローラー、緊急機能を管理する。LPはDAOメンバーとして、7日間のタイムロック中に提案を拒否できる仕組みだった。
それでも攻撃を防げなかった理由や、攻撃者がどの権限を利用したかは公表されていない。日本の利用者は、利回りだけでなく、管理者権限の分離、提案の拒否機能、タイムロックが実際に機能する条件、損失時の補償方針を確認する必要がある。
helloBTC編集部の整理と今後の注目点：流出経路と補償方針の開示が焦点
今後は、Term Labsが攻撃に使われたガバナンス権限、影響を受けたVaults、残存資産、返還や補償の方針を明らかにするかが焦点となる。
Term Finance全体のTVLは攻撃前に約2,5,800,000ドル、アクティブローンは約3,790,000ドルだった。今回の損失はVaultsに集中しているが、プロトコル全体の利用者が影響範囲を確認する必要がある。Termは2025年4月にも、tETH市場のオラクル設定ミスにより約1,600,000ドルの損失を経験し、1,000,000ドル超を回収して残額を財務資金で補填すると説明していた。
過去には、安価なトークンやフラッシュローンを利用したガバナンス攻撃も発生している。今回の件を受け、DeFi利用者は預け入れ先の利回り比較だけでなく、投票権の集中度、提案の実行条件、資産移動権限、監視体制を投資前に確認することが重要だ。
一次資料：Term Labs
執筆・検証方法はhelloBTCの編集方針をご確認ください。
