Term Labs, zdecentralizowany protokół pożyczkowy, stał się najnowszą platformą DeFi, która padła ofiarą ataku — napastnik wyprowadził łącznie 8,5 mln USD w ETH i DAI, nadużywając zasad zarządzania skarbcami protokołu.

Term Labs jest twórcą Term Finance, zdecentralizowanego protokołu pożyczkowego dla pożyczek ETH o stałym oprocentowaniu. Projekt stawiał sobie za cel oferowanie bardziej przewidywalnych stóp pożyczkowych i podkreślał tradycyjny zespół ilościowy złożony z byłych ekspertów Citibanku i Morgan Stanley.

Zespół potwierdził, że atak objął część skarbców protokołu, dodając, że rzeczywisty wpływ wciąż jest oceniany.

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026

Wstępne dane pokazują, że napastnik nie użył złośliwego exploita w tradycyjnym rozumieniu. Zamiast tego oparł się wyłącznie na swoim wpływie governance, dokładnie tak, jak przewidywał to protokół.

Według stanu na 23 sierpnia Term Labs utrzymywał ponad 25 mln USD w całkowitej zablokowanej wartości (TVL), według DefiLlama. Protokół obsługiwał aktywne pożyczki o wartości 3,92 mln USD oraz większą ilość zabezpieczeń w swoich skarbcach. Łącznie skarbce Term Finance posiadały 12,25 mln USD, jak pokazują dane DefiLlama, co oznacza, że incydent niemal całkowicie wyczerpał możliwości pożyczkowe protokołu.

Atak na Term Labs nastąpił zaledwie kilka dni po innych głośnych exploitacjach, w tym na Maya Protocol oraz po niedawnym ataku mintowania na The Sandbox.

Jak napastnik wyprowadził środki z Term Labs

Dane on-chain pokazują, że portfele napastnika zostały początkowo sfinansowane 2 ETH pochodzącymi z Tornado Cash, usługi miksującej Ethereum, która wielokrotnie pojawiała się w śladach finansowania wcześniejszych exploitacji kryptowalutowych. Ten typ wstępnego finansowania był wcześniej powiązany z atakami przeprowadzanymi przez hakerów z DPRK.

Napastnik kontrolował cztery z pięciu opróżnionych skarbców w Term Labs, posiadając po prostu 100% tokena governance.

Term Labs oferował skarbce pożyczkowe podobne do Morpho, w których każdy mógł zdeponować środki i otrzymywać dochód pasywny. Protokół używał jednak także Aragon jako platformy zarządzania, jednego z najdłużej rozwijanych otwartych frameworków do budowy i obsługi DAO, a użytkownicy mogli opcjonalnie zawinąć swoje depozyty w skarbcach w tokeny governance. Aby uzyskać tokeny governance, użytkownicy musieli ręcznie pobrać otrzymane ze skarbca tokeny udziałowe i zamienić je na specjalny token governance.

Wykonując ten drugi krok, napastnik uzyskał nieuczciwą przewagę w zarządzaniu i mógł wykorzystać ten wpływ do opróżnienia skarbców. Choć posiadane tokeny governance były warte zaledwie kilka dolarów, napastnik dysponował nieproporcjonalnie dużym wpływem i przetransferował wszystkie rezerwy ze skarbców.

Napastnik złożył 17 sierpnia wniosek zawierający ukryte działania, które nie były od razu widoczne dla głosujących. Okresy oczekiwania tego rodzaju pełnią funkcję blokad czasowych (timelock), popularnego zabezpieczenia DAO, które ma dać uczestnikom czas na przejrzenie i zawetowanie oczekujących zmian przed ich wykonaniem. Po upływie sześciodniowego okresu oczekiwania napastnik zmienił parametry skarbców w sposób umożliwiający wyprowadzenie środków z pięciu pożyczkowych skarbców USDC.

Po przeniesieniu środków napastnik umieścił je w jednym znanym portfelu, w którym znajduje się 1,6 mln USD w DAI i około 6,9 mln USD w ETH. Środki nie zostały jeszcze zmieszane ani przemieszczone, w przeciwieństwie do innych ataków, w których miksowanie następowało w ciągu pierwszej godziny. Ponieważ adres jest publicznie widoczny, portfel można monitorować on-chain, a firmy zajmujące się analityką blockchainu i giełdy rutynowo oznaczają adresy powiązane ze skradzionymi środkami w przypadku prób ich przesunięcia lub zdeponowania.

Dlaczego ataki governance są skuteczne

Wiele protokołów Web3 zbudowało jakiś rodzaj mechanizmu zarządzania, zwykle powiązany z posiadaniem określonych tokenów. Obecność wielorybów, przydziałów dla zespołów lub agresywnych kupujących oznacza, że rezerwy, skarbce DAO lub inne skarbce mogą zostać zaatakowane i opróżnione.

Najbardziej znanym precedensem pozostaje Beanstalk Farms, który stracił około 182 mln USD w kwietniu 2022 r., gdy napastnik wykorzystał flash loan, czyli pożyczkę bez zabezpieczeń realizowaną w ramach pojedynczej transakcji, aby na krótko uzyskać większość praw głosu i przegłosować wniosek służący jego własnym interesom. W przeciwieństwie do sześciodniowego okresu oczekiwania w Term, mechanizm wniosków awaryjnych Beanstalk wykonał zmiany napastnika natychmiast.

DAO i organizacje Web3 mają różne wskaźniki liczby wniosków, a nie wszystkie wnioski są zrozumiałe dla zwykłych użytkowników. Oznacza to, że zainteresowana strona może zaproponować wynik korzystny dla siebie i skutecznie go przegłosować.