Term Labs hat alle Festzins-Darlehenspositionen wiederhergestellt, die in Tresoren gehalten wurden, die von seinem Governance-Exploit im August betroffen waren, wobei die letzte Position am 25. August bewegt wurde, während Meta Vaults und betroffene Strategien weiterhin geschlossen bleiben.
Zusammenfassung
- Term Labs hat bis zum 25. August alle betroffenen Festzins-Darlehenspositionen wiederhergestellt, während seine Meta Vaults und betroffenen Strategien weiterhin geschlossen bleiben.
- Angreifer nutzten bösartige Governance-Vorschläge, um Ausführungsverzögerungen zu entfernen, bevor sie flüssiges ETH und USDC aus Tresorstrategien abzogen.
- Ein gefälschter Repo-Token wurde gegen den genauen flüssigen USDC-Saldo jeder Strategie bewertet, sodass der Angreifer die verfügbaren Mittel abräumen konnte.
- Term Labs erklärte, dass seine V1- und V2-Verträge nicht kompromittiert wurden und seine direkten Kredit- und Leihmärkte betriebsbereit blieben.
Term Labs erklärte in seinem neuesten Vorfallbericht, dass die letzte Festzinsposition am 25. August um 14:52 UTC wiederhergestellt wurde, während seine Untersuchung ergab, dass der Angriff auf flüssige Salden beschränkt war, die in Term-Tresoren gehalten wurden.
Das Protokoll erklärte, dass seine V1- und V2-Verträge nicht kompromittiert wurden und seine direkten Kredit- und Leihmärkte während des gesamten Vorfalls weiterhin funktionierten.
Term Labs sagt, Kreditverträge entgingen dem Tresor-Exploit
Der neue technische Bericht gibt ein detaillierteres Bild des Angriffs vom 23. August, den Sicherheitsfirmen zuvor auf etwa 8,5 Millionen US-Dollar an Schäden aus Term-Finance-Tresoren geschätzt hatten.
Term Labs hatte zunächst einen Governance-Exploit, der Tresore betraf, offengelegt, ohne die vollständige Angriffssequenz zu liefern. Die Sicherheitsfirmen CertiK und PeckShield schätzten Verluste auf nahezu 8,5 Millionen US-Dollar, einschließlich etwa 2.843 ETH und 1,68 Millionen USDC. PeckShield sagte, dass die USDC anschließend in etwa 1,68 Millionen DAI umgetauscht wurden.
Das Protokoll schloss später seine Meta Vaults und entzog ihnen ihre DAO-Governance-Rollen. Neue Einzahlungen wurden dauerhaft deaktiviert, während Abhebungen weiterhin möglich blieben. Yearn erklärte damals, dass die betroffenen Verträge die Yearn-V3-Infrastruktur nutzten, aber der Angriff einen Governance-Wrapper betraf, der für Term entwickelt wurde, nicht Standard-Yearn-V3-Tresore.
Term Labs sagt nun, dass sein zugrunde liegendes Festzins-Kreditsystem außerhalb der Reichweite des Angreifers blieb. Versorgung, Rückzahlung und Liquidierungsfunktionen funktionierten in seinen direkten Kreditmärkten ohne Unterbrechung weiter.
Der Angriff entwickelte sich stattdessen über zwei Operator-Wallets, die über Tornado Cash finanziert wurden, und eine Reihe von Governance-Vorschlägen, die die Kontrollen um Terms Tresorstrategien veränderten.
Der erste Operator erhielt am 17. August Gelder über Tornado Cash. Etwa 24 Minuten später reichte die Wallet einen ETH-Vorschlag mit dem Titel „Vote YES to VETO the curator’s proposed vault parameter changes“ ein.
Zu den Änderungen, die in dem Vorschlag enthalten waren, gehörte eine Reduzierung der Governance-Verzögerung des betroffenen Stacks auf null. Term Labs sagte, dass die Änderung einen zusätzlichen Zeitraum von sieben Tagen und einer Stunde entfernte, in dem Liquiditätsanbieter den Vorschlag vor der Ausführung hätten stoppen können.
Angreifer bereiteten separate ETH- und USDC-Kampagnen vor
Eine zweite Operator-Wallet erhielt am 18. August Tornado-Cash-Finanzierung, bevor sie später an diesem Nachmittag einen Singleton-Vertrag einsetzte.
Laut Term Labs kombinierte der Vertrag drei Funktionen in einer Bereitstellung: einen Controller, einen Preisadapter und einen gefälschten Repo-Token. Ein Helfervertrag wurde dann unter Verwendung des Singletons initialisiert.
Drei Tage später, am 21. August, reichte der Helfer sieben Governance-Vorschläge ein und gab die einzigen Stimmen dazu ab.
Zwei Vorschläge zielten auf ETH-Strategie-DAOs ab, wurden jedoch nie ausgeführt. Die anderen fünf wurden Teil des USDC-Angriffs.
Jeder der fünf Vorschläge reduzierte die relevante Governance-Verzögerung auf null und entfernte einen zusätzlichen Zeitraum von drei Tagen und einer Stunde, in dem LPs andernfalls vor der Ausführung hätten eingreifen können.
Eine frühere Analyse des Vorfalls ergab, dass der Angreifer zu sehr geringen Kosten Governance-Einfluss erlangt hatte. Eine Überprüfung der Governance-Übernahme ergab, dass etwa 951 Dollar ausgegeben wurden, um genügend Governance-Token zu erwerben, um die Stimmen zu kontrollieren, die mit Tresoren verbunden sind, die Millionen von Dollar an Einlagen halten.
Die Transaktionen erforderten nicht, dass der Angreifer die zentralen Festzins-Kreditverträge von Term kompromittierte. Stattdessen führten Governance-Verträge Anweisungen aus, die den Vorschlags- und Abstimmungsprozess durchlaufen hatten.
Ein ähnlicher Angriffspfad wurde Anfang August gegen StrongBlock verwendet, als ein Angreifer dessen Governance-System übernahm und etwa 72.000 Dollar in STRONG- und STRNGR-Token abzog. Der Angreifer erlangte genügend Stimmkraft, um einen Vorschlag durchzubringen, der letztendlich administrative Kontrolle über den Governor-Vertrag des Projekts gewährte.
ETH wurde über eine Strategie mit festem Empfänger geleitet
Der erste erfolgreiche Term-Vorschlag wurde am 23. August um 06:25 Uhr UTC ausgeführt.
Vier aktive ETH-Strategien, Shorewoods, August Digital, Parity Prime und Parity Core, wurden mit update_debt() in den Meta Vault zurückgerufen und in eine neu hinzugefügte Strategie namens frWETH-EXIT geleitet.
Term Labs sagte, die Strategie sei "Fixed Recipient WETH Exit Strategy" genannt worden.
Sobald das WETH in die neue Strategie gelangte, leitete frWETH-EXIT den gesamten Betrag während desselben Aufrufs an den ersten Operator weiter.
Die Transaktion hinterließ den Meta Vault mit 2.841,74 Anteilen an einer Strategie, die keines der WETH enthielt, das in sie übertragen worden war.
Diese Zahl entspricht in etwa den rund 2.843 ETH, die PeckShield bei seiner ersten Analyse des Vorfalls von Term Finance zurückverfolgte.
Zweiundzwanzig Minuten nach der ETH-Transaktion wurde die zweite Kampagne gegen fünf USDC-Strategie-DAOs ausgeführt.
Parity Prime, Parity Core, Parity HY, Parity HY v2 und RockawayX Tori wurden um 06:47 Uhr UTC ins Visier genommen.
Term Labs sagte, jeder Vorschlag habe seine DAO veranlasst, eine Einheit eines gefälschten Repo-Tokens an die jeweilige Strategie zu einem Wert zu verkaufen, der dem gesamten liquiden USDC-Guthaben der Strategie entsprach.
Der Angreifer konnte den Verkauf ausführen, nachdem die Vorschläge einen Vertrag namens fmTERT installiert hatten.
Term Labs sagte, fmTERT habe sowohl den Controller nachgeahmt, der zur Bestimmung verwendet wurde, ob ein Token ein legitimes Term-Instrument war, als auch den Preisadapter, der dafür verantwortlich war, zu bestimmen, wie viel das Instrument wert war.
Die Vorschläge setzten das Reserveverhältnis jeder Strategie auf null und erhöhten ihr Konzentrationslimit auf den maximal zulässigen Wert, wodurch verhindert wurde, dass diese Kontrollen die gefälschte Token-Transaktion einschränkten.
Der gefälschte Token wurde dann mit einer dynamischen redemptionValue()-Funktion bewertet.
Bei der Ausführung gab die Funktion den genauen Betrag an liquiden USDC zurück, der in der Strategie verfügbar war, sodass eine einzelne Einheit des gefälschten Repo-Tokens praktisch für das gesamte verfügbare Guthaben der Strategie verkauft werden konnte.
Nach dem Verkauf genehmigten die Vorschläge die USDC-Erlöse und überwiesen sie von jeder DAO in die Brieftasche des zweiten Operators.
Festzins-Positionen wurden verschoben, bevor sie eingelöst werden konnten
Term Labs sagte, die Festzinsdarlehen, die von betroffenen Tresoren gehalten wurden, konnten durch den Angriff selbst nicht erreicht werden.
Ein separates Problem wäre aufgetreten, wenn diese Positionen fällig geworden wären, da ihre Erlöse zur Einlösung in dieselben Tresore vorgesehen waren, die während des Governance-Angriffs erbeutet worden waren.
Das Protokoll reagierte, indem es betroffene Verträge aktualisierte und die Festzins-Positionen vor Fälligkeit verschob.
Alle betroffenen Festzins-Darlehenspositionen wurden seitdem wiederhergestellt, wobei die letzte Position am 25. August um 14:52 Uhr UTC verschoben wurde.
Der Vorfall verdeutlicht die Rolle, die Ausführungsverzögerungen bei der Governance-Sicherheit spielen können. Tage vor dem Term-Finance-Angriff sagte Binance, es habe einen bösartigen DAO-Vorschlag gestoppt, der etwa 1,2 Millionen Dollar bedrohte, die einem ungenannten Projekt gehörten. Weniger als 48 Stunden blieben, bevor dieser Vorschlag ausgeführt werden konnte, als die Börse das Projekt kontaktierte, das ihn letztendlich ohne gemeldeten Verlust ablehnte.
Im Fall von Term entfernten die bösartigen Vorschläge selbst zusätzliche Verzögerungszeiten, bevor die Vermögenswerte entnommen wurden. Der ETH-Vorschlag eliminierte ein Fenster von sieben Tagen und einer Stunde, während die fünf USDC-Vorschläge Zeiträume von drei Tagen und einer Stunde aus ihren jeweiligen Governance-Stapeln entfernten.
Term Labs gab an, dass seine Meta Vaults und betroffenen Strategien weiterhin stillgelegt sind, während die Stilllegungsarbeiten an den verbleibenden wenig aktiven Vaults noch im Gange sind.
Das Protokoll arbeitet mit Strafverfolgungsbehörden und Cybersicherheitsfirmen zusammen, um die Verantwortlichen für den Angriff zu identifizieren, und gab an, relevante Informationen zur Unterstützung der Ermittlungen bereitgestellt zu haben.
