Term Labs 表示，受影響的 Vault 固定利率借貸部位已恢復，Term V1/V2 合約未受影響
Term Labs 表示，受影響的 Vault 固定利率借貸部位已恢復，Term V1/V2 合約未受影響
Term Labs 回報了近期 Term Vault 事件處置上的進一步進展，表示所有與受影響 vault 相關的固定利率借貸部位都已恢復。根據該專案最新的公開更新，最後一筆恢復交易已於 8 月 25 日 UTC 14:52 完成。
團隊強調，依據目前的調查，這起事件似乎僅限於 Term Vault 相關結構中持有的流動資產。Term 的 V1 與 V2 借貸合約並未被發現遭到利用，協議的直接借貸市場也持續按預期運作，包括供給、償還與清算功能。
對於關注 2025 年 DeFi 安全事件的使用者來說，這起案例再次提醒大家，風險並不總是源自核心借貸邏輯。治理控制、策略參數、價格適配器，以及 vault 路由，都可能成為同樣重要的攻擊面。
Term Labs 表示已恢復的內容
這次最關鍵的進展，是與受影響 vault 相關的固定利率貸款部位已經找回。這一點很重要，因為 Term 的協議是圍繞固定利率借貸市場設計的，借款人與放款人是透過有期限的信貸市場互動，而非可變利率資金池。
Term Labs 表示，固定利率貸款本身並未直接遭到攻擊者打擊。不過，仍存在次級風險：當貸款到期時，贖回資金可能會回流至當時已受事件影響的 vault。為降低這項風險，相關合約已提前完成升級與遷移。
在更新發布時，Meta Vaults 及相關策略仍維持停用狀態。團隊也提到，部分仍屬低活動量的 vault 仍在處理中。
對 Term 不熟悉的讀者來說，這個協議專注於 DeFi 中的固定利率借貸。關於該專案市場結構的更多資訊，可透過官方 Term Finance website 查詢。
事件範圍：受影響的是 Vault 資產，而非核心借貸市場
Term Labs 更新中的一個核心重點，是 vault 基礎設施與核心借貸協議之間的區別。
根據團隊目前的調查結果：
- 受影響的範圍僅限於部分 Term Vault 流動性資產。
- 事件發生後，Meta Vaults 與相關策略已被關閉。
- Term V1 與 V2 合約未被發現遭到破壞。
- 直接借貸市場持續正常運作。
- 供給、償還與清算機制皆保持可用。
這種區分對 DeFi 使用者尤其重要，因為許多現代協議都是模組化設計。使用者面向的產品可能同時結合借貸合約、vault、治理模組、自動化策略、價格適配器與代幣包裝器。即使基礎借貸市場本身是安全的，輔助元件仍可能帶來額外風險。
這也是整個產業更廣泛的趨勢之一：隨著 DeFi 協議越來越可組合化，安全審查必須超越「主合約」本身，涵蓋所有能轉移資金或改變系統假設的特權元件。
攻擊據稱是如何執行的
Term Labs 的技術分析顯示，攻擊者採取的是多層次手法，而非單純的智慧合約漏洞利用。
據稱，攻擊者先透過 Tornado Cash 為一個操作錢包提供資金。Tornado Cash 是一款隱私工具，長期受到監管機構與區塊鏈分析公司的關注。美國財政部海外資產控制辦公室（OFAC）先前已針對 Tornado Cash 發布相關執法行動，反映出隱私基礎設施與非法金融風險之間持續存在的拉扯。讀者可透過美國財政部的 Tornado Cash-related notice 了解更廣泛的監管背景。
之後，攻擊者似乎濫用了治理機制。Term Labs 表示，惡意行為涉及治理提案，將多個策略的治理延遲期縮短為零。這項變更實際上繞過了原本為流動性提供者設置的額外阻擋時間。
在削弱這些時間性防護後，攻擊者據報部署了偽造元件，包括：
- 假控制器
- 被操縱的價格適配器
- 虛假的 Repo token
- 旨在重新導向價值的策略參數變更
透過結合治理延遲操控、假基礎設施以及價格機制濫用，攻擊者得以從部分 ETH 與 USDC 策略中提取流動資產。
這個教訓很明確：治理不只是行政層。於 DeFi 而言，治理往往有權修改風險參數、批准新模組、設定預言機路徑，並控制 vault 的策略行為。若治理防護失效，後果可能與直接被攻破無異。
為什麼治理延遲對 DeFi 安全很重要
治理延遲，有時也稱為 timelock，是一項關鍵防禦機制。它會在提案通過與執行之間設置等待期，讓使用者、流動性提供者、安全團隊與監控系統有時間反應。
設計良好的延遲機制，可以讓使用者在高風險變更生效前先撤出資金。它也能給獨立研究人員與自動監控工具更多時間，辨識惡意提案。
Term Vault 事件凸顯了為何協議應對任何可能縮短或移除保護性延遲的治理行動保持謹慎。在高價值的 DeFi 系統中，將 timelock 直接降為零的能力，本身就可能成為危險權限。
若想了解智慧合約安全原則的技術背景，Ethereum 的 Ethereum documentation on smart contract security 提供了不錯的入門資源。
固定利率借貸與間接暴露風險
Term Labs 更新中較細膩的一點是：固定利率貸款部位本身並未直接遭到利用，但由於它們與受影響的 vault 相連，仍需要恢復與遷移作業。
這在 DeFi 中相當常見。使用者可能以為自己只暴露於某個借貸部位，但實際上的結算路徑、抵押品流向、贖回目的地或策略包裝器，都可能帶來間接風險。
在 Term 的案例裡，問題不在於貸款本身被清空，而在於到期部位可能會贖回至受影響的 vault 基礎設施。透過在到期風險顯現前先升級並遷移相關合約，團隊試圖控制後續的連鎖暴露。
對 DeFi 使用者而言，這個區別很重要。評估一個協議時，不能只看表面的 TVL 或 APY。使用者應該了解：
- 資產閒置期間由誰保管
- 哪些合約有能力移動資金
- vault 是否使用自動化策略
- 價格來源與適配器如何設定
- 存在哪些治理權限
- 緊急停機機制是否真的可靠
調查與恢復工作仍在持續
Term Labs 表示，正與執法機關及資安公司合作，調查攻擊者身分。團隊也已向相關主管機關提供資訊，以支援持續進行中的調查。
這種做法反映了加密貨幣事件應變的更大轉變。早期的 DeFi 週期中，許多攻擊幾乎完全透過公開協商或鏈上訊息處理。到了 2025 年，規模更大的事件越來越常涉及區塊鏈鑑識業者、中心化交易所監控、法律顧問與執法單位協調。
區塊鏈分析技術也愈來愈成熟。即使攻擊者使用混幣器或多跳路由，調查人員仍可能透過時間模式、資金來源連結、跨鏈橋活動、交易所入金或操作失誤來追查。Chainalysis 已在其年度 Crypto Crime Report 中，發表了大量關於加密犯罪與非法資金流向演變的研究。
使用者接下來應該關注什麼
對 Term 使用者以及更廣泛的 DeFi 參與者而言，接下來有幾個值得持續觀察的重點：
-
其餘 vault 的最終狀態
Term Labs 表示，仍有部分低活動量 vault 在處理中。使用者應持續關注官方溝通管道，等待完成更新。 -
事後分析報告
若能發布完整的技術事後報告，將會很有價值，尤其是它能釐清治理提案時序、特權角色與監控缺口。 -
治理加固
最重要的長期問題，是 Term 是否會在延遲變更、控制器批准、策略更新與適配器部署方面加入更嚴格的限制。 -
第三方審計或審查
獨立驗證有助於恢復使用者信心，尤其是在問題涉及多個互相作用的模組，而非單一孤立合約時。 -
補償或使用者影響盤點
使用者會希望獲得關於受影響餘額、已恢復部位，以及任何殘留風險的精確資訊。
給 DeFi 使用者的安全啟示
這起事件再次強調，凡是使用 DeFi 借貸平台、vault 或結構化收益產品的人，都應養成幾個實務習慣。
首先，不要以為「未受影響」就代表「不用採取任何行動」。如果協議升級合約、停用策略或遷移 vault，使用者應仔細閱讀官方指引，避免點擊可疑連結。
其次，治理變更值得特別注意。惡意提案不一定顯而易見，尤其當它們使用技術術語，或看起來只是修改例行參數時更是如此。
第三，錢包安全仍是獨立但必要的一層防護。協議事件可能引發釣魚活動、假冒領取頁面，以及惡意的「恢復」連結。使用者應驗證網址、避免簽署不熟悉的交易，並將長期資產與活躍的 DeFi 錢包分開。
像 OneKey 這類硬體錢包，可以透過將私鑰離線保存，並在交易批准前要求裝置上確認，來降低簽署風險。這並不能消除智慧合約風險，但可以保護使用者免於許多錢包層級的威脅，而這些威脅在公開 DeFi 事件後往往會暴增。
總結
Term Labs 的更新顯示，核心的 Term V1 與 V2 固定利率借貸合約並未遭到破壞，而受影響的 vault 關聯固定利率借貸部位也已恢復。不過，這起事件仍然十分重要，因為它說明了治理控制、vault 策略設計與價格適配器權限，如何成為關鍵的安全依賴。
隨著 DeFi 持續成熟，使用者與協議本身都應將 vault 架構與治理流程視為一等級的安全議題。下一代 DeFi 風險管理，不會只限於審計借貸合約；它還需要持續監控所有可能影響資產移動、定價、權限與贖回路徑的模組。
