テルムラボスの850万ドルの流出：監査済みコード、管理されていないバンク

8月23日にTerm Labsの固定レートウォレットが空になったという攻撃は、Tornado Cashを通じて2ETHが盗まれることから始まりました。その後、0xD5183というアドレスが約2,843ETHと160万DAIを保有していました。資金の流れについては、ブロックチェーン上に記録されている情報であり、確定したものです。他のすべての情報——「850万ドル」や「ガバナンス上の脆弱性」、復旧策など——は推定値であり、まだ調査中です。そして、これら二つのカテゴリーの間にある部分こそが、実際に利用可能な情報です。

最初に数字を見てみましょう。それが、この見出しの最も興味深い点です。850万ドルというのは、セキュリティ会社の推定値であり、正式な認可ではありません。CertiKは、この事件を「ガバナンス攻撃」と分類し、損失額は約850万ドルでした。PeckShieldの分析によると、損失額は2,843 ETHでした。警告が発令された時点で、約687万ドルに評価されていました。さらに、168万USDCも含まれている。現在の価格と計算を確認してみると、エテルが約2,420ドル近くになるため、2,843ETHは約690万ドルに相当し、その残りはスタブルコインによるものだ。つまり、その数値は正しい。しかし、それはタイムスタンプが記載された受領書であり、タイムスタンプはすでに変更されている。攻撃が行われた後、ウォレットが読み取られた時には、そこにはUSDCではなくDAIが保管されていた。初期の報告では、「160万DAI」という情報や「168万USDC」という情報があり、チェーンがその問題を解決した。つまり、ウォレット内の資金はUSDCであったが、その後0xD5183がDAIに交換されたのだ。これはタイムスタンプの誤差であり、異議のある事実ではない。PeckShieldは、価格や手数料、その後の送金によって推定値が変動することを指摘している。つまり、真実の数値とは、最終的にウォレットがどれだけの資金を持っているかということだ。

その仕組みこそが、公式の説明と食い違っている点です。Term Labsは確認しました。Term Vaultに影響を与えるガバナンス上の問題そして、調査が完了したらさらに詳細を提供すると述べています。これがほぼ全ての情報です。今のところ、そのプロトコルでは、損失額や影響を受けたバンクの名前、攻撃者がどのようにガバナンス権限を得たか、または預金や引き出し、ガバナンス機能の停止についての情報は明らかにされていません。現在の報告書では、原因についての情報しかありません。つまり、攻撃者が投票権を手に入れたということです。Termの5つのUSDC戦略保管庫のうち4つそして、エテルム・メタバッグの約91％が、0xD5183に送金されました。お金が流れた契約書は監査済みのものであり、その攻撃行為はコードを破壊することなく実行されました。

箱を離して置くべきです。なぜなら、違いはその「ストーリー」にあるからです。契約上の問題というのは、システムが何ができるかに関する欠陥です。一方、ガバナンスの問題というのは、どのようにして決定されるかに関する欠陥です。そして、これら二つの問題には、それぞれ異なる解決策があります。Termのバッファは、Yearn V3戦略バッファフレームワーク上に配置されています。そして、そのフレームワークに関する監査も行う。重大な問題や深刻な問題は見つかりませんでした。「コードは問題ない」と「金庫は安全だ」というのは、異なる文です。この事件に関する報告内容——トークナミクス、有権者の無関心さ、金庫管理機能のアクセス制御が不十分など——は、アーキテクチャ上の問題であり、クリアな監査では解決できません。監査とはコードを洗浄することです。しかし、必要な要件を満たすことはできません。

預金者にとっては、これは書類手続きなしで法的身分が変わるということです。

そこで、回復の問題については、別途記事を立てるべきです。2025年4月末に起きたテム・ファイナンスの事件は、大きな損失をもたらしました。150万ドルほどで、不具合のあるオラクルの更新から発生した。突然、担保価値が誤って評価されてしまった——それはチーム自身の操作上の過ちだった。そして、その資金は最終的に返還された。その理由は、説得可能な人々を利用できるからだ。今回は、Tornado Cashを通じて資金が提供された。Tornado Cashは障害物ではなく、障害物を克服するための手段として設計されている。攻撃者と交渉可能な人々との間の連携関係が欠けているのだ。同じプロトコルで、16ヶ月の差があるだけで、状況が異なる。2025年の事件は、構造上のエラーによる返還が可能だったが、今回は外部のガバナンスの問題であり、返還の方法が明らかになっていない。

この反論は、はっきりと述べる価値がある。850万ドルという金額は、4月にKelpDAO関連のインフラシステムが被った約2億9000万ドルに比べればごくわずかなものである。当時、2026年に最も大きなハッキング事件と呼ばれた出来事でもあった。また、Summer.fiが7月に行った攻撃も、今年を通じて問題となっている問題の一例である。USDCウォールト2つから約600万ドルが引き出されました。単一の原子レベルの取引で行われる。その規模において、シードステージの固定金利ローン提供者が850万ドルを損失するということは、特定の製品におけるリスクとして捉えられる。しかし、この状況が完全に現実になるのを妨げるのは、これがTermが16ヶ月で2度目の失敗であること、そして2026年は、預金と返済の間にあるインフラや戦略アダプター、制限条件、オラクル、緊急対応機能などが攻撃対象となる時期だということです。Termの場合、問題は会計業務ではなく、権限や投票に関するものです。しかし、それは同じ構造を別の方法で実現しているだけです。そして、そのタイミングも明らかです：8月4日、負債が発生する3週間前に。Term LabsがTerm V2を発表していました。これは、固定金利DeFiの次のレイヤーです。このレイヤーは、実際に利用可能になる前に、ガバナンスプロセスを通じて確立されました。

チェックできるようにするための中断条件としては、次のようなものです。この解釈を覆す例としては、取得した投票数が定められた閾値を超えていたことを示す「Term postmortem」があります。実際の問題は、実行の仕方にあったのです。これにより、ガバナンスの話がコードの話になります。または、凍結と回復が確認されることで、それが交渉の話になります。影響を受けたウォールリストや投票パラメータが明らかになるまでは、記録はそのままです。つまり、コードは保持されているが、ガバナンスはそうではない。そして、850万ドルという金額は、まだ動いているウォレットに対する有効な記録に過ぎません。