Term FinanceのStrategy Vaultで、ガバナンス機構を悪用した攻撃により推定850万ドル相当の資産が流出したとThe Blockが報じた。 今回の焦点はスマートコントラクトの一般的な脆弱性ではなく、提案を実行できる権限と、それを監視・拒否する運用体制にある。 7日間のタイムロックと流動性提供者（LP）の拒否権が設けられていたにもかかわらず、被害を防げなかった点が重要だ。
Term Financeで何が起きたのか
The Blockは2026年8月23日、DeFi融資プロトコルのTerm Financeがガバナンスを悪用した攻撃を受け、推定850万ドル相当を失ったと報じた。影響を受けたのは、預け入れ資産を複数の融資先へ配分するTerm Strategy Vaultsだとされる。
Term Financeは、固定金利・固定期間の融資をオンチェーンオークションで成立させるプロトコルである。Strategy Vaultsはその融資市場への参加を自動化する商品で、Yearn V3を基盤として構築されている。公式説明によれば、VaultはTermの固定金利市場に加え、待機資金を変動金利型のレンディングプロトコルへ配分できる設計だ。
今回の事件について重要なのは、損失額が現時点で「推定」であり、攻撃経路の完全な事後検証がまだ公表されていないことだ。ガバナンス悪用と報じられている一方、どの権限取得、提案、投票、実行処理が直接の原因になったのかは、Term Financeによる正式なポストモーテムを待つ必要がある。
7日間のタイムロックとLP拒否権とは
Term Financeの開発者向け公式文書では、Strategy Vaultのガバナンスフローを「Proposer Safe、Delay Module、Governor Safe、Vault」の順で説明している。提案はGnosis SafeとZodiac Delay Moduleを利用した7日間のタイムロックを通過してから実行される。
この待機期間は、Risk Curatorなどが提案したリスクパラメータ変更をLPが確認するための時間だ。VaultのLPはDAOメンバーとして、問題のある提案を拒否できる。拒否案が可決された場合、Delay Moduleの取引ノンスを変更し、待機中のトランザクションを無効化する仕組みとされている。
また、VaultのGOVERNOR_ROLEには、預け入れや戦略の一時停止、オラクルの変更、準備金比率、担保条件、資産集中上限、ブラックリストなどを操作する権限がある。これらはVaultの安全性に直結する強い権限であるため、タイムロックと拒否権は本来、危険な変更を実行前に止める防御層として機能する。
なぜ安全装置は被害を止められなかったのか
The Blockの報道が示す最大の問題は、安全装置が存在していたことと、実際に攻撃を阻止できることは同義ではないという点だ。タイムロックは自動的に提案内容の安全性を判定しない。期間内に異常を検知し、拒否に必要な投票やトランザクションを完了できなければ、危険な提案も実行段階へ進み得る。
考えられる検証対象には、LPの議決権が少数のアドレスへ集中していなかったか、拒否に必要な参加率や通知体制が適切だったか、提案内容を人間が理解できる形で監視できていたか、Governor関連権限の変更に十分な制約があったかがある。ただし、これらは一般的なガバナンスリスクであり、Term Finance事件の直接原因として確定したものではない。
公式文書上の「7日間」は十分長く見えるが、監視者がいなければ単なる待ち時間になる。Aaveなど他のDeFiプロトコルでも、タイムロック、オンチェーン投票、緊急時の拒否権を組み合わせている。しかし、最終的な安全性は権限分散、監視、提案解析、緊急対応担当者の可用性まで含めて評価する必要がある。
Term Strategy Vaultsの構造とリスク
Term Strategy Vaultsは、利用者に代わって固定金利融資への参加や資金の再投資を自動化する。公式サイトによると、Risk Curatorは利用可能な担保、LTVなどの担保条件、資産集中上限、最低準備金比率、ポートフォリオ期間といった制約を提案する。
この構造は運用を簡素化する一方、利用者が個別の融資ポジションだけでなく、Vaultの管理権限とガバナンスにも依存することを意味する。たとえばChainlinkの価格フィードが正常で、各融資が過剰担保であっても、Vaultの資産移動権限そのものが不正に操作されれば、通常の清算設計だけでは防げない可能性がある。
Term Financeの公式リスク開示も、オラクル、清算時のスリッページ、利用可能な流動性などによって損失が生じ得ると説明している。今回の報道は、これらに加えて「誰がVault設定を変更できるか」「その変更を誰が止められるか」という管理面のリスクも確認すべきことを示した。
利用者が今すぐ確認すべきこと
Term Financeの利用者は、まず公式サイト、公式ガバナンスページ、公式SNSで、影響を受けたVault、入出金停止の有無、スナップショットや補償方針を確認したい。第三者が投稿した返金フォームやウォレット接続ページは利用せず、公式ドメインから到達できる案内だけを参照するべきだ。
ウォレット上でVaultトークンが表示されていても、額面どおりに償還できるとは限らない。反対に、未確認情報だけを根拠に不利な価格で権利を処分することも避けたい。残高、Vaultの総資産、償還可能額、該当コントラクトの停止状態を個別に確認する必要がある。
今後Vault型DeFi商品を比較する際は、利回りだけでなく、管理者権限、アップグレード権限、タイムロックの期間、拒否権の保有者、定足数、緊急停止権限、監視通知の公開性を確認することが実用的だ。Yearn V3、Aave、Euler、Morphoなどの名前が運用先として含まれていても、上位Vault独自のガバナンスリスクが消えるわけではない。
DeFiプロトコル側に求められる改善
プロトコル側には、提案をオンチェーンへ掲載するだけでなく、実行によって変わる権限や資産移動を自動解析し、LPへ即時通知する仕組みが求められる。特にGovernorの移転、オラクル変更、外部コントラクト承認、資産送付先の変更は、通常のパラメータ調整より厳しい閾値を設定する余地がある。
拒否権についても、理論上行使できるだけでは不十分だ。拒否に必要な投票力が実際に分散しているか、緊急時に署名者が対応できるか、監視サービスが停止しても代替経路があるかを継続的にテストする必要がある。
さらに、Yearn V3のような監査済み基盤を利用していても、周辺に追加した権限管理やガバナンス構成は別の攻撃面になる。監査範囲をコントラクト単体に限定せず、提案作成から監視、拒否、実行までの運用フロー全体へ広げることが重要だ。
まとめ
Term Financeでは、Strategy Vaultsを対象とするガバナンス悪用により、推定850万ドル相当が流出したと報じられた。公式設計には7日間のタイムロックとLPによる拒否権があったが、これらの防御層は今回の被害を阻止できなかったとみられる。
ただし、具体的な権限取得方法や各安全装置が機能しなかった原因は、正式な調査報告が出るまで確定できない。利用者は非公式な返金案内を避け、影響範囲と対応方針を公式情報で確認する必要がある。
今回の事件は、DeFiの安全性をコード監査や担保率だけで判断できないことを改めて示した。Vaultを利用する際は、資産の運用先に加えて、提案を誰が作成し、誰が拒否でき、異常を誰が監視するのかまで確認することが欠かせない。
