Zdecentralizowany protokół pożyczkowy Term Finance stracił szacunkowo 8,5 mln USD po tym, jak atakujący przejął kontrolę nad zarządzaniem związanym z jego vaultami strategicznymi. Jak podała firma, atak na Term Finance dotknął produkt Meta Vault, podczas gdy jej rynki pożyczkowo-kredytowe pozostały operacyjne.

Według doniesień atakujący wypompował z dotkniętych vaultów 2 843 ETH oraz około 1,68 mln USD w stablecoinach, po rzekomym uzyskaniu większościowej kontroli nad zarządzaniem i wykorzystaniu złośliwych propozycji do upoważnienia wypłat. Dane DefiLlama pokazywały, że przed atakiem produkt vault posiadał około 12,45 mln USD, więc zgłaszane straty stanowiły mniej więcej 68% jego aktywów. Vaulty posiadały także blisko 8,8 mln USD w Etherze, zanim atakujący wyczerpał większość depozytów.

Firmy zajmujące się bezpieczeństwem, PeckShield i CertiK, śledziły zasoby atakującego w trakcie rozwoju zdarzeń. PeckShield zgłosił 2 843 Ether o wartości 6,87 mln USD oraz 1,68 mln USDC i zaobserwował, że atakujący wymienił USDC na 1,68 mln DAI (PeckShieldAlert na X).

Atak na Term Finance celuje w zarządzanie vaultami

Term Labs potwierdził 23 sierpnia 2026 r., że exploit zarządczy dotknął Term Vaults. Firma oświadczyła, że atak koncentrował się na warstwie vaultów zbudowanej ponad jej protokołem pożyczkowym o stałym oprocentowaniu, a przeprowadzony przegląd nie wykazał uszkodzeń podstawowych rynków pożyczkowych.

Monitor onchain Defimon podał, że atakujący kupił większościowy pakiet słabo rozproszonego tokena zarządzającego. Według doniesień atakujący użył 2 ETH wywodzących się z Tornado Cash — miksera kryptowalut objętego w 2022 r. sankcjami amerykańskiego Departamentu Skarbu ze względu na zarzuty prania pieniędzy, regularnie pojawiającego się w śladach funduszy z wcześniejszych exploitów — do nabycia tokenów TERM, a uzyskana w ten sposób siła głosowania umożliwiła przyjęcie złośliwych propozycji. Propozycje te, według doniesień, dały atakującemu kontrolę nad wypłatami z vaultów strategicznych.

Wykupienie większościowej siły głosującej w słabo rozproszonym tokenie zarządzającym to powtarzający się tryb awarii w DeFi, a nie zjawisko nowe. W kwietniu 2022 r. protokół kredytowy Beanstalk stracił około 182 mln USD po tym, jak atakujący użył flash loana, aby zgromadzić wystarczającą liczbę tokenów zarządzających do przegłosowania propozycji opróżniającej jego rezerwy. Zgłaszane mechanizmy ataku na Term są znacznie mniejsze w skali, ale podążają tym samym wzorcem: skromny kapitał zamieniony na rozstrzygającą siłę głosowania.

Metoda miała rzekomo ominąć siedmiodniowy timelock oraz proces weta LP za pomocą niestandardowej logiki zarządzania, choć Term Labs nie potwierdził tej ścieżki. Timelocki i podobne opóźnienia to standardowe zabezpieczenia zarządzania w DeFi, zaprojektowane tak, aby dać użytkownikom czas na reakcję i wycofanie środków przed wejściem w życie zatwierdzonych zmian; jeśli potwierdzi się zgłaszane obejście, deponenci nie mieliby takiego okna wyjścia.

Yearn wyjaśnia swoją rolę

Dotknięte vaulty korzystają z infrastruktury Yearn V3. Yearn, jeden z najdłużej działających protokołów yield-vault w DeFi, oświadczył, że atak obejmował niestandardowy wrapper zarządzający używany przez Term Finance, i dodał, że ta sama ścieżka ataku nie dotyczy standardowych wdrożeń vaultów Yearn.

Term Labs trwale zamyka wpłaty do Meta Vault

Po potwierdzeniu incydentu Term Labs trwale wstrzymał nowe wpłaty do wszystkich Meta Vault i cofnął powiązane z vaultami role zarządcze DAO. Firma określiła zamknięcie jako nieodwracalne, wskazując, że trwale uniemożliwia ono dalsze wpłaty. Wypłaty pozostają otwarte dla użytkowników na czas trwania przeglądu.

Update: All Term Meta Vaults were shut down and dao governance roles have been revoked. This shutdown is irreversible and permanently prevents further deposits. Withdrawals are open.

Today's incident involved Term Vault governance. Based on our investigation so far, the…

— Term Labs (@term_labs) August 23, 2026

Prace nad odzyskaniem środków trwają po wcześniejszej stracie spowodowanej błędem oracla

Term Labs oświadczył, że współpracuje z zewnętrznymi zespołami bezpieczeństwa nad odzyskaniem środków i naprawą sytuacji. Firma zaleciła użytkownikom tymczasowe cofnięcie zatwierdzeń kontraktów oraz poleganie wyłącznie na oficjalnych komunikatach na czas trwania śledztwa.

Strata wpisuje się w serię kosztownych exploitów kryptowalutowych: firmy zajmujące się analityką blockchain odnotowały w 2024 r. ponad 2 mld USD skradzione z platform kryptowalutowych, a kradzież około 1,5 mld USD z giełdy Bybit w lutym 2025 r. pozostaje największą w historii.

Incydent następuje po błędzie oracla z kwietnia 2025 r., który spowodował niezamierzone likwidacje o wartości około 918 ETH. Term później odzyskał około 556 ETH, odnotował ostateczną stratę 362 ETH i zrekompensował straty poszkodowanym użytkownikom. Dla deponentów vaultów otwartymi pytaniami pozostają teraz: czy część wypompowanych ETH i stablecoinów da się wyśledzić i odzyskać, czy przegląd potwierdzi wstępne ustalenie, że podstawowe rynki pożyczkowe nie zostały naruszone, oraz co zastąpi cofnięte role DAO w kontynuowanych operacjach vaultów.

Źródło: CoinCentral