Protokol lending DeFi Term Labs kehilangan sekitar $8,5 juta setelah seorang penyerang mengeksploitasi kontrol governance pada produk vault-nya, menurut Wu Blockchain, yang mengutip peringatan dari PeckShieldAlert dan CertiK yang mengonfirmasi kerugian tersebut. Menurut laporan itu, si penyerang memegang cukup kekuatan suara untuk mengarahkan vault mencairkan dana. Serangan ini menguras sekitar 2.843 ETH — bernilai sekitar $6,87 juta saat itu — bersama 1,68 juta USDC, yang kemudian ditukar menjadi sekitar 1,6 juta DAI.
Berbeda dari kebanyakan peretasan DeFi besar lainnya, eksploitasi ini tidak melibatkan bug smart contract, kesalahan oracle, atau trik flash-loan. Penyerang cukup mengumpulkan kekuatan suara governance yang memadai untuk meloloskan proposal yang memerintahkan vault menyerahkan dananya — dan kontrak, yang bekerja persis sesuai rancangannya, patuh menjalankan perintah itu. Vault yang tereksploitasi dibangun di atas infrastruktur Yearn v3, bukan arsitektur repo-lending inti milik Term Finance, yang berarti protokol lending utamanya sendiri tidak langsung terdampak.
Serangan governance, bukan eksploitasi kode
Mekanisme ini penting karena ia melewati begitu saja seluruh kategori perlindungan yang biasanya ditangkap oleh audit. Serangan governance lolos melalui kontrak yang sepenuhnya teraudit tanpa merusak apa pun secara teknis; celahnya justru ada pada cara distribusi kekuatan suara dan seberapa cepat proposal berbahaya bisa dieksekusi begitu lolos, bukan pada logika kontraknya. Laporan menunjukkan bahwa pendanaan awal si penyerang berasal dari hanya 2 ETH yang disalurkan lewat Tornado Cash — modal kecil yang ternyata cukup untuk memperoleh bobot governance yang dibutuhkan guna menggerakkan sekitar $8,5 juta.
Skala kerugian ini cukup signifikan dibandingkan produk yang terdampak: dana yang dicuri mewakili sekitar 68% dari total value locked produk vault tersebut di semua chain, dan hampir seluruh TVL berbasis Ethereum-nya secara khusus. Ini bukan insiden keamanan pertama bagi Term Finance — protokol ini sempat kehilangan sekitar $1,5 juta pada Mei 2025 akibat ketidaksesuaian desimal oracle yang muncul saat upgrade rutin, meski insiden sebelumnya itu melibatkan mode kegagalan yang sama sekali berbeda.
Baca juga: Belanja Kartu Kripto Tembus $1 Miliar, Stablecoin Jadi Rutinitas Harian
Apa artinya bagi DeFi yang diamankan governance
Eksploitasi ini menambah bukti bahwa vektor serangan berbasis governance layak mendapat kewaspadaan yang sama seperti kerentanan smart contract, terutama untuk protokol di mana kekuatan suara bisa dikumpulkan dengan cepat dan murah dibandingkan nilai yang dikendalikannya. Bagi para depositor yang mengevaluasi produk vault di seluruh DeFi, insiden Term Labs ini menjadi pengingat untuk tidak hanya menimbang riwayat audit, tapi juga seberapa terkonsentrasi dan seberapa cepat proses governance sebuah protokol bisa bergerak — sebab dalam kasus ini, kodenya bekerja persis seperti yang ditulis, dan justru itulah masalahnya.
