Het gedecentraliseerde leenprotocol Term Finance heeft naar schatting $8,5 miljoen verloren nadat een aanvaller de controle over de governance van de strategy vaults had verkregen. Volgens het bedrijf trof de Term Finance-hack het Meta Vault-product, terwijl de leen- en uitleenmarkten operationeel bleven.

De aanvaller zou 2.843 ETH en ongeveer $1,68 miljoen aan stablecoins uit de getroffen vaults hebben weggesluisd nadat hij naar verluidt de meerderheid van de governancecontrole had verkregen en kwaadaardige voorstellen had gebruikt om de opnames te autoriseren. DefiLlama-data lieten zien dat het vault-product vóór de aanval ongeveer $12,45 miljoen bevatte, waardoor het gerapporteerde verlies neerkwam op ongeveer 68% van de activa. De vaults hadden ook bijna $8,8 miljoen aan Ether aangehouden voordat de aanvaller het grootste deel van de stortingen wegsluisde.

Beveiligingsbedrijven PeckShield en CertiK volgden de bezittingen van de aanvaller terwijl het incident zich ontvouwde. PeckShield meldde 2.843 Ether ter waarde van $6,87 miljoen naast 1,68 miljoen USDC, en constateerde dat de aanvaller de USDC omwisselde voor 1,68 miljoen DAI (PeckShieldAlert op X).

Term Finance-hack richt zich op vault-governance

Term Labs bevestigde op 23 augustus 2026 dat een governance-exploit Term Vaults had getroffen. Het bedrijf zei dat de aanval gericht was op de vault-laag boven het fixed-rate leenprotocol, en dat uit de beoordeling geen schade aan de kernmarkten voor lenen was gebleken.

Onchain-monitor Defimon zei dat de aanvaller een meerderheid van een dun bezet governance-token had gekocht. Volgens rapporten gebruikte de aanvaller 2 ETH, herleid tot Tornado Cash—een crypto-mixer die in 2022 door het Amerikaanse ministerie van Financiën werd gesanctioneerd wegens beschuldigingen van witwassen en die vaker voorkomt in eerdere sporen van buitgemaakte fondsen—om TERM-tokens te verkrijgen, en stelde de daaruit voortvloeiende stemmacht hem in staat kwaadaardige voorstellen door te laten gaan. Die voorstellen gaven de aanvaller naar verluidt controle over opnames uit de strategy vaults.

Het verkrijgen van meerderheidstemrecht in een dun bezet governance-token is in DeFi een terugkerend faalmechanisme, niet iets nieuws. In april 2022 verloor creditprotocol Beanstalk ongeveer $182 miljoen nadat een aanvaller via een flashloan voldoende governance-tokens had verzameld om een voorstel aan te nemen dat de reserves wegsluisde. De gerapporteerde werkwijze bij Term is veel kleiner van schaal, maar volgt hetzelfde patroon: een bescheiden hoeveelheid kapitaal werd omgezet in beslissende stemmacht.

Volgens de berichten omzeilde de methode een timelock van zeven dagen en een LP-vetoproces via custom governance-logica, al heeft Term Labs dit pad niet bevestigd. Timelocks en vergelijkbare vertragingen zijn standaard waarborgen in DeFi-governance, bedoeld om gebruikers tijd te geven te reageren en zich terug te trekken voordat goedgekeurde wijzigingen van kracht worden; als de gerapporteerde omzeiling wordt bevestigd, hadden storters geen dergelijke uitweg gehad.

Yearn verduidelijkt zijn rol

De getroffen vaults maken gebruik van Yearn V3-infrastructuur. Yearn, een van de langstlopende yield-vaultprotocollen in DeFi, zei dat de aanval een custom governance-wrapper betrof die door Term Finance werd gebruikt, en voegde eraan toe dat hetzelfde aanvalspad niet van toepassing is op standaard Yearn-vaultimplementaties.

Term Labs sluit Meta Vault-stortingen permanent

Na bevestiging van het incident stopte Term Labs permanent met nieuwe stortingen in alle Meta Vaults en trok het de DAO-governancerollen in die aan de vaults waren gekoppeld. Het bedrijf omschreef de sluiting als onomkeerbaar en zei dat verdere stortingen daarmee permanent worden verhinderd. Opnames blijven beschikbaar voor gebruikers terwijl de beoordeling doorgaat.

Update: Alle Term Meta Vaults zijn gesloten en de dao-governancerollen zijn ingetrokken. Deze sluiting is onomkeerbaar en verhindert permanent verdere stortingen. Opnames zijn geopend.

Het incident van vandaag betrof Term Vault-governance. Op basis van ons onderzoek tot nu toe, de…

— Term Labs (@term_labs) 23 augustus 2026

Herstelbeoordeling gaat door na eerdere oracle-verlies

Term Labs zei samen te werken met externe beveiligingsteams aan herstel en remediatie. Het bedrijf adviseerde gebruikers om contractgoedkeuringen tijdelijk in te trekken en uitsluitend op officiële updates te vertrouwen zolang het onderzoek loopt.

Het verlies komt bovenop een reeks grote crypto-exploits: blockchain-analysebedrijven registreerden in 2024 meer dan $2 miljard aan diefstal van cryptoplatforms, en de diefstal van ongeveer $1,5 miljard bij de Bybit-beurs in februari 2025 blijft de grootste ooit geregistreerd.

Het incident volgt op een oracle-fout in april 2025 die leidde tot ongeveer 918 ETH aan onbedoelde liquidaties. Term herstelde later ongeveer 556 ETH, registreerde een definitief verlies van 362 ETH en vergoedde getroffen gebruikers. Voor vault-storters zijn de open vragen nu of een deel van de weggesluisde ETH en stablecoins kan worden getraceerd en teruggehaald, of de beoordeling de eerste conclusie bevestigt dat de kernmarkten voor lenen onaangetast bleven, en wat de ingetrokken DAO-rollen vervangt voor de vault-activiteiten die doorgaan.

Bron: CoinCentral