Term治理漏洞暴露什么风险？

先把已确认和估算分开

Term Labs 对外表示有 governance exploit 影响 Term vaults，并称会在进一步调查后提供更多细节。外部安全公司和媒体给出的约 850 万美元损失，应写成估算，不应替代协议方最终复盘。安全事件文章的第一条纪律，就是不要把“有人报道”写成“官方确认”。

为什么治理风险不同于代码漏洞

治理攻击不一定需要破坏合约代码。若攻击者能获得足够投票权、利用执行延迟不足或调用授权路径，就可能让系统按“合法流程”转移资产。对用户而言，审计报告只能覆盖一部分风险；治理参数、角色权限和金库策略同样重要。

Term Vaults的背景

Term Finance 官方曾介绍 Term Vaults 是自动化固定利率借贷方案，并提到策略逻辑建立在 Yearn V3 之上。这个背景有助于理解为什么“金库”不是一个静态钱包，而是带策略、权限和资金流转规则的产品。事件细节仍需等待官方复盘。

用户现在能做什么

如果曾与相关 vault 交互，应先保存地址、交易哈希、时间和余额截图；再关注官方渠道，不要相信私信补偿链接。撤销授权可以降低未来被前端诱导使用额度的风险，但不能追回已经由治理路径转出的资金。可参考DeFi协议收入和TVL区别？和无常损失是什么？理解金库风险。

写作边界

本文不列出可复现攻击步骤，不给攻击地址画像做确定归因，也不指导如何利用治理。链上资金来源如混币器只能作为公开链上迹象，不能单独证明现实身份。

风险提示

DeFi金库可能受到合约、治理、策略、预言机、流动性和前端风险影响。本文只做防御教育，不构成投资、索赔或法律建议。

等待复盘期间不要做什么

不要点击所谓补偿表单，不要把钱包连接到陌生“追回资产”页面，也不要根据外部估算自行判断税务或索赔结果。更合理的做法是关注协议官方复盘、审计或安全公司后续报告，并把自己的交互记录整理好，等待可验证的信息。