DeFi治理攻击频发：850万资金被投票掏空，审计失效警钟敲响

Term Finance金库遭投票劫持：850万美元资金在合规框架下被转移

以太坊上的借贷协议Term Finance于2026年8月23日发生大规模资金流出，约2,843枚ETH与160万枚DAI转入单一地址，总值达850万美元。此次事件未涉及智能合约漏洞，而是通过获取绝对多数投票权后，提交并执行了将资金划拨给攻击者的决议。

攻击者仅以两枚通过Tornado Cash获得的ETH作为初始资本，逐步累积投票权重。凭借极低的代币总供应量与集中分布，迅速达成对多个金库的控制。该案例凸显治理权可交易性带来的系统性风险——小额资金即可主导大额资产的命运。

调查显示，在五个USDC策略金库中，攻击者实现100%投票权；在以太坊元金库中占比约91%。这种压倒性优势使任何反对提案均无法成立，且损失范围严格限定于其掌握控制权的池子，其他金库未受影响。

尽管协议合约经第三方审计且未发现程序缺陷，但审计范畴仅限于代码逻辑正确性，不涵盖代币分布、投票机制设计及权限结构等治理层面。因此，该事件被归类为架构性弱点，暴露了“合规代码”与“实际风险”之间的鸿沟。

决议通过与执行之间应设有等待期，以便用户及时提取资金。然而目前未有公开信息确认Term Finance是否部署此类机制及其持续时长。若无有效时间锁，攻击者可在决议通过后立即完成资金转移，剥夺用户撤离机会。

Token of Power（TOP）协议在同年6月遭遇相似攻击：攻击者购得超半数投票权，通过一次交易完成提案提交、通过与执行，铸造100亿枚新代币并兑换为价值约150万至160万美元的WETH。其根源在于极小的代币总量、无发行上限与缺乏延迟机制。

安全机构Blockaid统计显示，2026年6月至8月初，三条区块链共发生七次治理接管事件，累计损失约2200万美元。其中包含2026年7月7日针对BONK DAO的数千万美元攻击，印证此类威胁已成常态化风险。

在存入资金前，应核查：谁拥有投票权？代币分布是否集中？是否存在时间锁？能否直接转移余额？是否有新代币发行上限？上述任一环节薄弱，都将显著降低攻击门槛。

尽管建议撤销代币授权以防范未来访问，但对治理攻击无效。因资金已被协议自身合法处置，撤销授权仅能阻止后续操作，无法追回已转移的余额。

遭遇损失后，首要任务是保存所有相关证据：存入时间、金额、池子名称、交易哈希及与平台的沟通记录。这些资料将用于后续税务申报或责任追溯，具体处理需咨询专业顾问。

Term Finance此前于2025年5月发生150万美元损失，源于价格数据配置失误，属内部技术错误，资金最终得以返还。而本次事件由外部行为者操控，利用匿名服务获取种子资金，追偿前景不明。

当前已确认资金流向、接收地址、攻击者控制力、多方机构背书等关键节点。但各金库具体损失金额、影响人数、是否设置时间锁、赔偿方案及攻击者身份仍属未知，需等待官方调查报告发布。

本文内容全部源自公开报道、第三方分析及行业媒体披露，未进行原始链上数据挖掘。价格参考数据可能随市场波动变化，相关内容不具备实时准确性。

应区分静止资产与活跃资产：长期持有者不应将资金置于可通过投票开启的池中。对于不可控存储，推荐使用硬件钱包；若偏好受监管平台，具备牌照资质的机构优于依赖治理投票的协议。