Term Labs untersucht einen Governance-Exploit, durch den am 23. August nach Schätzungen von Sicherheitsfirmen rund 8,5 Millionen US-Dollar aus den Vaults von Term Finance abgeflossen sind. Der Vorfall hat die Aufmerksamkeit vom Smart-Contract-Code hin zu den Governance-Kontrollen verlagert, die die Vaults des Protokolls und die darin verwahrten Vermögenswerte schützen.

Sicherheitsfirmen verfolgen die Gelder des Angreifers

CertiK identifizierte nach dem Exploit eine vom Angreifer kontrollierte Adresse, die rund 2.843 ETH und etwa 1,6 Millionen US-Dollar in DAI hielt. PeckShield schätzte, dass der Angreifer 2.843 ETH — im Wert von rund 6,87 Millionen US-Dollar — sowie 1,68 Millionen USDC aus dem betroffenen System abzog.

Die gestohlenen USDC wurden später gegen rund 1,68 Millionen DAI getauscht, während die Attacke ursprünglich mit 2 ETH aus Tornado Cash finanziert wurde, einem Mixing-Dienst, der dazu entwickelt wurde, die On-Chain-Spur von Geldern zu verschleiern.

Term Labs Suffers $8.5M Governance Exploit Affecting Vaults

DeFi lending protocol @term_labs suffered a governance exploit affecting its vaults. According to PeckShieldAlert and CertiK Alert, the attack resulted in losses of about $8.5 million, with the exploiter holding… pic.twitter.com/yhAHbCN95d

— Wu Blockchain (@WuBlockchain), August 23, 2026 (X)

Term Labs bestätigte, dass ein Governance-Exploit die Vaults des Protokolls beeinträchtigt hatte, doch bis zum 23. August lag keine vollständige Ursachenanalyse vor. Infolgedessen blieben die Angriffsabfolge, die konkret betroffenen Vaults und die Methode, mit der die Governance-Schutzmaßnahmen außer Kraft gesetzt wurden, unbestätigt.

Governance-Kontrollen stehen auf dem Prüfstand

Der Vorfall unterscheidet sich von einem herkömmlichen Smart-Contract-Versagen, da frühe Sicherheitsberichte die Governance — und nicht einen Codefehler — als offenbaren Weg zu den Vault-Vermögenswerten ausmachen. Diese Unterscheidung stellt die Kontrollstruktur von Term Finance auf den Prüfstand, während die Ermittler herauszufinden versuchen, wie der Angreifer Zugang zu den geschützten Mitteln erlangte. Verluste, die auf kompromittierte Schlüssel oder Governance-Berechtigungen statt auf Fehler im On-Chain-Code zurückgehen, sind eine wiederkehrende Kategorie von DeFi-Sicherheitsvorfällen; der Radiant-Capital-Zwischenfall im Oktober 2024, bei dem Angreifer nach der Kompromittierung von Multisig-Signaturschlüsseln rund 53 Millionen US-Dollar abzogen, ist ein weithin berichtetes Beispiel.

Die Dokumentation von Term sieht getrennte Rollen für Manager und Gouverneure vor, wobei Governance-Aktionen über eine Gnosis Safe — eine im DeFi-Bereich weit verbreitete Multisig-Wallet — und ein Zodiac Delay Module laufen. Diese Aktionen unterliegen zusätzlich einer siebentägigen Timelock-Frist vor der Ausführung, wodurch ein Prüffenster für vorgeschlagene Änderungen entsteht. Liquiditätsanbieter der Vaults werden als DAO-Teilnehmer beschrieben, die berechtigt sind, während dieser Verzögerung Vorschläge mit einem Veto zu blockieren; laut der Dokumentation kann ein erfolgreiches Veto eine in die Warteschlange gestellte Transaktion vor ihrer Ausführung ungültig machen und somit eine weitere Schutzebene schaffen.

Term Labs hatte jedoch nicht bestätigt, ob ein Einfluss über Stimmrechte, ein Berechtigungsproblem, ein Konfigurationsfehler oder ein anderer Governance-Pfad die Sicherheitsverletzung verursacht hat. Ohne Ursachenanalyse belegen die verfügbaren Erkenntnisse nicht, welche Schutzmaßnahme versagte oder ob die dokumentierten Kontrollen wie vorgesehen funktionierten.

Vault-Design, TVL und offene Fragen zur Wiederherstellung

Term Finance bietet non-custodiale Kredite zu Festzinsen und mit Überbesicherung nach dem Vorbild traditioneller Repurchase Agreements und bringt Kreditnehmer über Auktionen mit verdeckten Geboten mit Kreditgebern zusammen. Kreditgeber erhalten Repo-Token, die Ansprüche auf Kapital und Zinsen bei Fälligkeit verbriefen, während Strategy Vaults die Teilnahme und das Liquiditätsmanagement automatisieren.

Die Vaults basieren auf Yearn V3s Implementierung von ERC-4626, dem Ethereum-Standard für tokenisierte Single-Asset-Vaults, ergänzt um eigene Logik für Auktionen, Portfolio-Limits, Reserven und die Steuerung von Fälligkeiten. Nach dem bisherigen Erkenntnisstand wurde weder in Yearn V3 noch in Ethereum selbst eine Schwachstelle festgestellt; die Prüfung konzentriert sich weiterhin auf die Berechtigungs- und Governance-Schicht rund um die Vault-Implementierung von Term.

Vor dem Exploit führte DeFiLlama, ein öffentlicher Tracker für Einlagen in DeFi-Protokollen, die TermFinance Vaults mit rund 10,87 Millionen US-Dollar an Total Value Locked (TVL), darunter etwa 7,23 Millionen US-Dollar auf Ethereum. Dieser Wert schließt Kapital aus, das in Term-Repo-Token angelegt wurde, um Doppelzählungen zu vermeiden, wodurch ein direkter Vergleich mit der Verlustschätzung von 8,5 Millionen US-Dollar unzuverlässig ist.

Zum Zeitpunkt der Veröffentlichung hatte Term Labs weder einen Wiederherstellungsplan noch einen Rahmen für Entschädigungen angekündigt und auch die gesamten Nutzerverluste nicht bestätigt. Das Protokoll hatte zudem nicht mitgeteilt, ob Einlagen, Abhebungen, Governance-Funktionen oder bestimmte Vaults nach dem Vorfall pausiert wurden.

Die vom Angreifer kontrollierte Wallet bleibt Schwerpunkt der Rückverfolgung, wobei die Finanzierung über Tornado Cash allein den Angreifer nicht identifiziert. Für Einleger müssen die nächsten Veröffentlichungen die bösartigen Governance-Transaktionen, die betroffenen Verträge, den Zeitpunkt der Vorschläge und die Timelock-Aktivität klären. Diese Details werden bestimmen, ob es sich bei dem Vorfall um eine Übernahme der Governance, fehlerhafte Berechtigungen oder ein anderes Implementierungsversagen innerhalb der Vault-Kontrollen von Term Finance handelte.