Het gedecentraliseerde uitleenprotocol Term Labs is het nieuwste DeFi-platform dat te maken kreeg met een exploit: een aanvaller haalde in totaal 8,5 miljoen dollar aan ETH en DAI weg door misbruik te maken van de vault-governanceregels van het protocol.

Term Labs is de maker van Term Finance, een gedecentraliseerd uitleenprotocol voor ETH-leningen tegen een vaste rente. Het project wilde voorspelbaardere uitleenrentes bieden en benadrukte dat het beschikte over een traditioneel kwantteam met voormalige experts van Citibank en Morgan Stanley.

Het team bevestigde dat de exploit enkele van de vaults trof en voegde daaraan toe dat de werkelijke impact nog wordt vastgesteld.

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026

Eerste gegevens tonen aan dat de aanvaller geen kwaadaardige exploit in de klassieke zin gebruikte. In plaats daarvan vertrouwde de aanvaller uitsluitend op de eigen governance-invloed, precies zoals het protocol voorzag.

Per 23 augustus had Term Labs meer dan 25 miljoen dollar aan total value locked, volgens DefiLlama. Het protocol had 3,92 miljoen dollar aan actieve leningen staan, naast een grotere hoeveelheid onderpand in de vaults. In totaal bevatten de vaults van Term Finance 12,25 miljoen dollar, zo tonen gegevens van DefiLlama aan, waardoor het incident de uitleencapaciteit van het protocol vrijwel volledig heeft leeggezuigd.

De aanval op Term Labs komt slechts enkele dagen na andere opvallende exploits, waaronder Maya Protocol en een recente mint-aanval op The Sandbox.

Hoe de aanvaller fondsen uit Term Labs weghaalde

On-chain-gegevens tonen aan dat de wallets van de aanvaller werden gefinancierd met 2 ETH afkomstig uit Tornado Cash, een Ethereum-mixingsdienst die herhaaldelijk is opgedoken in de financieringssporen van eerdere crypto-exploits. Dit type startfinanciering is eerder in verband gebracht met exploits van hackers uit de DPRK.

De aanvaller controleerde vier van de vijf leeggehaalde vaults op Term Labs simpelweg door 100% van de governance-token in handen te hebben.

Term Labs bood uitleenvaults aan die vergelijkbaar zijn met die van Morpho, waar iedereen geld kon storten en een passief inkomen kon ontvangen. Term Labs gebruikte echter ook Aragon als governance-platform, een van de langstlopende open-sourceframeworks voor het bouwen en beheren van DAO's, en gebruikers konden hun vaultdeposito's desgewenst in governance-tokens wrappen. Om governance-tokens te verkrijgen, moesten gebruikers handmatig de van de vault ontvangen share-tokens omzetten in een speciale governance-token.

Door deze tweede stap uit te voeren, verwierf de aanvaller een oneerlijk governance-voordeel en kon die invloed aanwenden om de vaults leeg te halen. Hoewel de governance-tokens die de aanvaller in handen had slechts een paar dollar waard waren, beschikte de aanvaller over een buitensporige invloed en verplaatste alle reserves uit de vaults.

De aanvaller diende op 17 augustus een voorstel in met verborgen acties die voor stemmers niet direct zichtbaar waren. Wachtperioden van dit soort fungeren als timelocks: een gangbare DAO-beveiligingsmaatregel die deelnemers de tijd moet geven om aanstaande wijzigingen te bestuderen en te blokkeren voordat ze worden uitgevoerd. Nadat de wachtperiode van zes dagen was verstreken, wijzigde de aanvaller de vaultparameters zodanig dat fondsen uit vijf USDC-uitleenvaults konden worden weggehaald.

Na het verplaatsen van de fondsen parkeerde de exploiter deze in één bekende wallet, met 1,6 miljoen dollar aan DAI en ongeveer 6,9 miljoen dollar aan ETH. De fondsen zijn nog niet gemixt of verplaatst, in tegenstelling tot andere exploits waarbij het mixen al binnen het eerste uur volgde. Omdat het adres publiek zichtbaar is, kan de wallet on-chain worden gevolgd en markeren blockchainanalysebedrijven en beurzen adressen die aan gestolen fondsen zijn gekoppeld doorgaans zodra er bewegingen of stortingpogingen plaatsvinden.

Waarom governance-aanvallen succesvol zijn

Meerdere Web3-protocollen hebben een of andere vorm van governance-mechanisme ingebouwd, meestal gekoppeld aan het vasthouden van specifieke tokens. De aanwezigheid van whales, teamallocaties of agressieve kopers betekent dat reserves, DAO-schatkisten of andere vaults kunnen worden aangevallen en leeggehaald.

Het bekendste precedent blijft Beanstalk Farms, dat in april 2022 circa 182 miljoen dollar verloor nadat een aanvaller met een flash loan – een ongedekte lening die binnen één transactie wordt afgehandeld – kortstondig een meerderheid aan stemrecht verwierf en een eigenbelanggedreven voorstel liet aannemen. In tegenstelling tot de wachtperiode van zes dagen bij Term voerde het noodvoorstelmechanisme van Beanstalk de wijzigingen van de aanvaller direct uit.

DAO's en Web3-organisaties kennen wisselende aantallen voorstellen, en niet alle voorstellen worden door gewone gebruikers begrepen. Dat betekent dat een belanghebbende partij een voorstel in eigen voordeel kan indienen en dit met succes kan doorvoeren.