Term Labs、影響を受けたVaultの固定金利貸付ポジションは復旧済みと発表、Term V1/V2コントラクトには影響なし
Term Labs、影響を受けたVaultの固定金利貸付ポジションは復旧済みと発表、Term V1/V2コントラクトには影響なし
Term Labsは、最近発生したTerm Vaultのインシデントへの対応においてさらなる進展があったと報告し、影響を受けたVaultに関連する固定金利貸付ポジションがすべて復旧したと明らかにしました。プロジェクトの最新の公開 अपडेटによると、最終的な復旧トランザクションは8月25日14:52 UTCに完了しています。
同チームは、現時点での調査結果に基づけば、今回のインシデントの影響はTerm Vault関連の構造内に保有されていた流動資産に限定されていたと強調しました。TermのV1およびV2の貸付コントラクトは今回の事件で悪用された形跡はなく、プロトコルの直接貸付市場は、供給、返済、清算を含め、想定どおりに稼働を続けていました。
2025年のDeFiセキュリティ事案を追っているユーザーにとって、今回のケースは、リスクが必ずしも中核の貸付ロジックから発生するとは限らないことを改めて示しています。ガバナンス制御、戦略パラメータ、価格アダプター、Vaultのルーティングも、同じくらい重要な攻撃対象になり得ます。
Term Labsが復旧済みとする内容
今回の重要な進展は、影響を受けたVaultに紐づく固定金利ローンポジションが回復したことです。これは、Termのプロトコルが固定金利貸付市場を中心に設計されており、借り手と貸し手が変動金利プールではなく、期間が定められた信用市場を通じてやり取りする仕組みだからです。
Term Labsによれば、固定金利ローンそのものが攻撃者に直接打撃を受けたわけではありません。ただし、二次的なリスクは存在しました。ローン満期時に、償還が今回の影響を受けたVaultへ戻ってしまう可能性があったためです。そのリスクを抑えるため、該当コントラクトは事前にアップグレードされ、移行が実施されました。
更新時点では、Meta Vaultsと関連戦略は引き続き無効化されたままでした。同チームはまた、残っている一部の低稼働Vaultについても、まだ処理中であると述べています。
Termに詳しくない読者向けに説明すると、このプロトコルはDeFiにおける固定金利の借入・貸付に特化しています。プロジェクトの市場構造については、公式のTerm Finance websiteで確認できます。
インシデントの範囲：Vault資産が対象で、コア貸付市場ではない
Term Labsの更新で中心となるのは、Vaultインフラとコア貸付プロトコルを区別している点です。
チームの現時点の調査結果によると、以下のとおりです。
- 影響を受けたのは、特定のTerm Vaultの流動性資産に限定されていた
- Meta Vaultsと関連戦略は、インシデント後に停止された
- Term V1およびV2のコントラクトは侵害されていない
- 直接貸付市場は通常どおり機能を継続していた
- 供給、返済、清算の仕組みは稼働を維持していた
この切り分けはDeFiユーザーにとって重要です。というのも、現代の多くのプロトコルはモジュール化されているからです。ユーザー向けの製品は、貸付コントラクト、Vault、ガバナンスモジュール、自動戦略、価格アダプター、トークンラッパーを組み合わせて構成されることがあります。ベースとなる貸付市場が安全でも、補助コンポーネントが追加のリスクを生むことはあり得ます。
これは業界全体の傾向の一部でもあります。DeFiプロトコルがよりコンポーザブルになるにつれ、セキュリティレビューは「メインコントラクト」だけでなく、資金を移動させたり前提条件を変更したりできる権限付きコンポーネントすべてに及ぶ必要があります。
攻撃はどのように実行されたと見られるか
Term Labsの技術分析によると、攻撃者は単純なスマートコントラクトのバグを突いたのではなく、多層的な手法を用いたとみられます。
攻撃者はまず、Tornado Cashを通じて運用ウォレットに資金を送ったとされています。Tornado Cashは、規制当局やブロックチェーン分析企業の間で広く議論されてきたプライバシーツールです。米財務省外国資産管理局（OFAC）はこれまでにもTornado Cashに関連する執行措置を公表しており、プライバシー基盤と不正資金対策の緊張関係を反映しています。より広い規制上の文脈は、米財務省のTornado Cash関連通知で確認できます。
その後、攻撃者はガバナンスの仕組みを悪用したようです。Term Labsによると、この悪意ある活動には、複数の戦略におけるガバナンス遅延期間をゼロに短縮するガバナンス提案が含まれていました。これにより、流動性提供者向けに設けられていた追加の保留ウィンドウが事実上バイパスされたことになります。
こうした時間的保護を弱めたうえで、攻撃者は以下のような偽のコンポーネントを展開したと報告されています。
- 偽のコントローラー
- 改ざんされた価格アダプター
- 偽造されたRepoトークン
- 価値の流れを別方向へ向けるための戦略パラメータ変更
ガバナンス遅延の操作、偽インフラ、価格メカニズムの悪用を組み合わせることで、攻撃者は一部のETHおよびUSDC戦略から流動資産を抜き出すことに成功したとされています。
教訓は明確です。ガバナンスは単なる管理層ではありません。DeFiにおいてガバナンスは、リスクパラメータの変更、新しいモジュールの承認、オラクル経路の設定、Vault戦略の挙動制御などの権限を持つことが多いのです。ガバナンス上の防御が破られれば、その影響は直接的なエクスプロイトに匹敵する可能性があります。
DeFiセキュリティにおいてガバナンス遅延が重要な理由
ガバナンス遅延は、タイムロックとも呼ばれる重要な防御機構です。提案が承認されてから実行されるまでに待機期間を設けることで、ユーザー、流動性提供者、セキュリティチーム、監視システムが対応する時間を確保します。
適切に設計された遅延は、リスクの高い変更が反映される前にユーザーが資金を引き出す余地を与えます。また、独立系研究者や自動監視ツールが悪意ある提案を見つけるための時間も増やします。
今回のTerm Vaultインシデントは、保護用の遅延を短縮または削除できるあらゆるガバナンス操作に、プロトコルが慎重であるべき理由を示しています。高額資産を扱うDeFiシステムでは、タイムロックをゼロにできる能力そのものが危険な特権になり得ます。
スマートコントラクトのセキュリティ原則に関する技術的な背景については、Ethereum documentation on smart contract securityが有用な出発点になります。
固定金利貸付と間接的な露出リスク
Term Labsの更新で特に注目すべき点のひとつは、固定金利ローンのポジション自体は直接攻撃されていない一方で、影響を受けたVaultとの接続により復旧・移行作業が必要になったことです。
これはDeFiではよくある複雑さです。ユーザーは自分が貸付ポジションだけにさらされていると思っていても、決済経路、担保ルート、償還先、戦略ラッパーなどが間接的な露出を生むことがあります。
Termのケースでは、問題はローンそのものが抜かれたことではなく、満期を迎えるポジションが影響を受けたVaultインフラへ償還される可能性があった点でした。満期に伴うリスクが顕在化する前に、関連コントラクトをアップグレードして移行させることで、チームは下流への露出を封じ込めようとしました。
DeFiユーザーにとって、この違いは重要です。プロトコルを評価する際は、見出しにあるTVLやAPYだけを見るべきではありません。利用者は以下を理解しておく必要があります。
- 資産が待機中にどこで保管されるのか
- どのコントラクトが資金を動かせるのか
- Vaultが自動戦略を使っているかどうか
- 価格フィードやアダプターがどのように設定されているか
- どんなガバナンス権限が存在するか
- 緊急停止の仕組みが実効性を持つか
調査と復旧作業は継続中
Term Labsは、攻撃者の身元を調査するため、法執行機関やサイバーセキュリティ企業と連携していると述べました。継続中の捜査を支援するため、関係当局にも情報提供しているとのことです。
この対応は、暗号資産業界におけるインシデント対応の大きな変化を反映しています。以前のDeFiサイクルでは、多くのエクスプロイトがほぼオンチェーンでの交渉や公開メッセージだけで処理されていました。しかし2025年には、より大規模な事案ほど、ブロックチェーンフォレンジック企業、中央集権型取引所の監視、法務アドバイザー、法執行機関との連携が関わるようになっています。
ブロックチェーン分析も、かなり高度化しています。攻撃者がミキサーや複数ホップのルーティングを使ったとしても、捜査官はタイミングのパターン、資金の接続関係、ブリッジの利用、取引所への入金、運用上のミスなどを追跡できる場合があります。Chainalysisは、暗号資産犯罪と不正資金フローの進化について、年次のCrypto Crime Reportで詳しい調査を公表しています。
ユーザーが今後注目すべき点
Termのユーザー、そして広くDeFi参加者にとって、今後注視すべき点は次のとおりです。
-
残っているVaultの最終状況
Term Labsによれば、いくつかの低稼働Vaultはまだ対応中です。完了に関する更新は、必ず公式の案内を確認してください。 -
ポストモーテムの詳細
事後報告の完全版が公開されれば、特にガバナンス提案のタイムライン、特権ロール、監視の抜け漏れが明確になるため有用です。 -
ガバナンスの強化
長期的に最も重要なのは、Termが遅延変更、コントローラー承認、戦略更新、アダプター配備に対して、より強い制約を設けるかどうかです。 -
第三者監査やレビュー
独立した検証は、問題が単独のコントラクトではなく複数の相互作用するモジュールにまたがっていた場合、ユーザーの信頼回復に役立ちます。 -
補償やユーザー影響の整理
ユーザーは、影響を受けた残高、復旧済みポジション、残存リスクについて、正確な情報を求めるでしょう。
DeFiユーザーに向けたセキュリティ上の教訓
今回の件は、DeFiの貸付プラットフォーム、Vault、構造化利回り商品を利用する人にとって、いくつかの実践的な習慣を改めて示しています。
まず、「影響なし」は「何もしなくてよい」を意味しない、という点です。プロトコルがコントラクトをアップグレードしたり、戦略を停止したり、Vaultを移行したりする場合は、公式の手順を注意深く確認し、不審なリンクには触れないようにしてください。
次に、ガバナンス変更には注意が必要です。悪意ある提案は、技術的な用語を使っていたり、通常のパラメータ変更に見えたりするため、必ずしも一目で分かるとは限りません。
第三に、ウォレットの安全性は別個の、しかし不可欠な層です。プロトコルのインシデントは、フィッシング、偽の請求ページ、悪意ある「復旧」リンクを生むことがあります。URLを確認し、見慣れないトランザクションの署名は避け、長期保有用の資産とアクティブなDeFi用ウォレットを分けて管理するべきです。
OneKeyのようなハードウェアウォレットは、秘密鍵をオフラインで保持し、トランザクション承認前に本体での確認を求めることで、署名リスクの低減に役立ちます。スマートコントラクトリスクそのものをなくすことはできませんが、こうした公開DeFiインシデントの後に急増しがちなウォレットレベルの脅威からは、ユーザーを守りやすくなります。
まとめ
Term Labsの更新によれば、Term V1およびV2の固定金利貸付コントラクトの中核は侵害されておらず、影響を受けたVaultに紐づく固定金利貸付ポジションはすでに復旧しています。それでもこのインシデントが重要なのは、ガバナンス制御、Vault戦略の設計、価格アダプターの権限が、重大なセキュリティ依存関係になり得ることを示しているからです。
DeFiが成熟し続けるなかで、ユーザーとプロトコルの双方が、Vaultアーキテクチャとガバナンス手続きを最優先のセキュリティ課題として扱うべきです。次世代のDeFiリスク管理は、貸付コントラクトの監査だけでは不十分であり、資産移動、価格設定、権限、償還経路に影響を及ぼし得るあらゆるモジュールを継続的に監視する必要があります。
