Term Labs onderzoekt een governance-exploit die volgens beveiligingsbedrijven op 23 augustus circa 8,5 miljoen dollar uit de vaults van Term Finance heeft weggesluisd. Het incident heeft de aandacht verlegd van de smart-contractcode naar de governance-controles die de vaults van het protocol en de daarin aanwezige activa beschermen.

Beveiligingsbedrijven sporen fondsen van de aanvaller op

CertiK identificeerde na de exploit een door de aanvaller gecontroleerd adres met circa 2.843 ETH en ongeveer 1,6 miljoen dollar aan DAI. PeckShield schatte dat de aanvaller 2.843 ETH — met een waarde van circa 6,87 miljoen dollar — en 1,68 miljoen USDC uit het getroffen systeem weghaalde.

De gestolen USDC werd later omgewisseld voor circa 1,68 miljoen DAI, terwijl de aanval aanvankelijk werd gefinancierd met 2 ETH afkomstig uit Tornado Cash, een mixingservice die is ontworpen om het spoor van fondsen op de blockchain te verhullen.

Term Labs Suffers $8.5M Governance Exploit Affecting Vaults

DeFi lending protocol @term_labs suffered a governance exploit affecting its vaults. According to PeckShieldAlert and CertiK Alert, the attack resulted in losses of about $8.5 million, with the exploiter holding… pic.twitter.com/yhAHbCN95d

— Wu Blockchain (@WuBlockchain), August 23, 2026 (X)

Term Labs bevestigde dat een governance-exploit de vaults had getroffen, maar het protocol had op 23 augustus nog geen volledige postmortemanalyse gepubliceerd. Daardoor bleven de aanvalsvolgorde, de specifiek getroffen vaults en de methode waarmee de governance-beschermingen werden verslagen onbevestigd.

Governance-controles liggen onder de loep

Het incident verschilt van een conventionele smart-contractfout, omdat vroege beveiligingsrapporten de governance — en niet een codefout — aanwijzen als de kennelijke route naar de vault-activa. Dat onderscheid plaatst de besturingsstructuur van Term Finance onder de loep terwijl onderzoekers proberen vast te stellen hoe de aanvaller bij de beschermde fondsen kon komen. Verliezen die terug te voeren zijn op gecompromitteerde sleutels of governance-rechten, in plaats van fouten in on-chain code, vormen al langer een terugkerende categorie binnen DeFi-beveiligingsincidenten; de inbraak bij Radiant Capital in oktober 2024, waarbij aanvallers na het compromitteren van multisig-ondertekeningssleutels circa 53 miljoen dollar wegvoerden, is een veel gerapporteerd voorbeeld.

De documentatie van Term kent afzonderlijke rollen toe aan managers en governors, waarbij governance-acties verlopen via een Gnosis Safe — een in DeFi veelgebruikte multisig-wallet — en een Zodiac Delay Module. Dergelijke acties zijn bovendien onderworpen aan een timelock van zeven dagen voordat zij worden uitgevoerd, wat een beoordelingsvenster voor voorgestelde wijzigingen creëert. Vault-liquiditeitsverschaffers worden beschreven als DAO-deelnemers met de bevoegdheid om tijdens die vertraging voorstellen te vetoën; volgens de documentatie kan een succesvol uitgebracht veto een in de wachtrij geplaatste transactie ongeldig maken voordat deze wordt uitgevoerd, wat een extra beschermingslaag toevoegt.

Term Labs had echter nog niet bevestigd of steminvloed, een permissieprobleem, een configuratiefout of een ander governance-pad de inbraak veroorzaakte. Zonder postmortemanalyse laat het beschikbare bewijs niet vaststellen welke beveiliging faalde of of de gedocumenteerde controles werkten zoals ontworpen.

Vragen over vault-ontwerp, TVL en herstel blijven open

Term Finance biedt niet-custodiale leningen tegen een vaste rente en met overcollateralisatie, gemodelleerd naar traditionele repotransacties, en brengt kredietnemers en kredietgevers via veilingen met verzegelde biedingen bij elkaar. Kredietgevers ontvangen repo-tokens die claims op principal en rente bij afloop vertegenwoordigen, terwijl Strategy Vaults deelname en liquiditeitsbeheer automatiseren.

De vaults zijn gebouwd op de ERC-4626-implementatie van Yearn V3, de Ethereum-standaard voor getokeniseerde vaults met één activum, aangevuld met eigen logica voor veilingen, portefeuillelimieten, reserves en looptijdcontroles. Op grond van het bewijs tot dusver is er geen kwetsbaarheid vastgesteld in Yearn V3 of in Ethereum zelf; de aandacht blijft gericht op de permissie- en governancelaag rondom de vault-implementatie van Term.

Vóór de exploit vermeldde DeFiLlama, een openbare tracker van deposits bij DeFi-protocollen, TermFinance Vaults met circa 10,87 miljoen dollar aan total value locked (TVL), waarvan ongeveer 7,23 miljoen dollar op Ethereum. Dat bedrag laat kapitaal dat is ingezet in Term repo-tokens buiten beschouwing om dubbeltelling te voorkomen, wat een directe vergelijking met de verliesschatting van 8,5 miljoen dollar onbetrouwbaar maakt.

Ten tijde van het schrijven van dit artikel had Term Labs nog geen herstelplan of vergoedingskader aangekondigd, en evenmin de totale gebruikersverliezen bevestigd. Het protocol had ook niet bekendgemaakt of deposits, opnames, governance-functies of specifieke vaults na het incident waren gepauzeerd.

De door de aanvaller gecontroleerde wallet blijft het focus van traceringsinspanningen, hoewel financiering via Tornado Cash alleen niet vaststelt wie de aanvaller is. Voor depositonemers zullen de volgende bekendmakingen duidelijkheid moeten geven over de malafide governance-transacties, de getroffen contracten, de timing van voorstellen en de timelock-activiteit. Die details zullen bepalen of het incident ging om governance-capture, foutieve permissies of een andere implementatiefout binnen de vault-controles van Term Finance.