Децентрализованный кредитный протокол Term Labs стал очередной DeFi-платформой, пострадавшей от эксплойта: злоумышленник вывел в общей сложности 8,5 млн долларов в ETH и DAI, злоупотребив правилами управления хранилищами протокола.

Term Labs — создатель Term Finance, децентрализованного кредитного протокола для займов в ETH под фиксированную ставку. Проект ставил целью предложить более предсказуемые ставки кредитования и подчёркивал наличие традиционной квант-команды, в которую входили бывшие специалисты Citibank и Morgan Stanley.

Команда подтвердила, что эксплойт затронул некоторые хранилища, и добавила, что реальный масштаб ущерба всё ещё оценивается.

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026

Первоначальные данные показывают, что злоумышленник не использовал вредоносный эксплойт в привычном понимании. Вместо этого он полагался исключительно на своё влияние в системе управления — именно так, как это было предусмотрено протоколом.

По данным на 23 августа, общий объём заблокированных средств (TVL) Term Labs превышал 25 млн долларов, согласно DefiLlama. Протокол обслуживал активные кредиты на 3,92 млн долларов, а объём залоговых средств в его хранилищах был ещё выше. В общей сложности хранилища Term Finance содержали 12,25 млн долларов, по данным DefiLlama, — это означает, что инцидент практически полностью исчерпал кредитные возможности протокола.

Атака на Term Labs произошла всего через несколько дней после других громких эксплойтов, включая Maya Protocol и недавнюю атаку с несанкционированной эмиссией на The Sandbox.

Как злоумышленник вывел средства из Term Labs

Данные блокчейна показывают, что кошельки злоумышленника были пополнены 2 ETH, поступившими из Tornado Cash — сервиса смешивания средств в сети Ethereum, который неоднократно фигурировал в цепочках финансирования прошлых криптоэксплойтов. Такой тип начального финансирования ранее был связан с эксплойтами, осуществлёнными хакерами из КНДР (DPRK).

Злоумышленник контролировал четыре из пяти опустошённых хранилищ Term Labs, просто удерживая 100% токена управления.

Term Labs предлагал кредитные хранилища, схожие с Morpho, где любой мог внести средства и получать пассивный доход. Однако Term Labs также использовал Aragon в качестве платформы управления — один из старейших фреймворков с открытым исходным кодом для создания и работы DAO, — а пользователи могли по желанию оборачивать депозиты в хранилищах в токены управления. Чтобы получить токены управления, пользователи должны были вручную взять долевые токены, полученные от хранилища, и конвертировать их в специальный токен управления.

Выполнив этот второй шаг, злоумышленник получил несправедливое преимущество в системе управления и смог использовать это влияние для опустошения хранилищ. Хотя удерживаемые им токены управления стоили всего несколько долларов, злоумышленник получил непропорционально большое влияние и вывел все резервы из хранилищ.

17 августа злоумышленник подал предложение, содержащее скрытые действия, которые не были сразу видны голосующим. Периоды ожидания такого рода выполняют функцию timelock (временной блокировки) — распространённой меры защиты DAO, призванной дать участникам время на изучение и отклонение ожидающих изменений до их исполнения. После истечения шестидневного периода ожидания злоумышленник изменил параметры хранилищ таким образом, что это позволило вывести средства из пяти кредитных хранилищ USDC.

Переместив средства, злоумышленник разместил их в единственном известном кошельке, который содержит 1,6 млн долларов в DAI и около 6,9 млн долларов в ETH. Средства пока не были смешаны или перемещены, в отличие от других эксплойтов, когда смешивание начиналось уже в течение первого часа. Поскольку адрес находится в открытом доступе, за кошельком можно наблюдать в блокчейне, а компании блокчейн-аналитики и биржи, как правило, помечают адреса, связанные с похищенными средствами, при попытках их перемещения или внесения депозитов.

Почему атаки через систему управления оказываются успешными

Множество протоколов Web3 создали тот или иной механизм управления, обычно связанный с удержанием определённых токенов. Наличие китов, командных распределений токенов или агрессивных покупателей означает, что резервы, казначейства DAO или другие хранилища могут быть атакованы и опустошены.

Самым известным прецедентом остаётся Beanstalk Farms, потерявшая около 182 млн долларов в апреле 2022 года после того, как злоумышленник с помощью флеш-кредита — займа без обеспечения, исполняемого в рамках одной транзакции, — на короткое время получил большинство голосов и провёл выгодное себе предложение. В отличие от шестидневного периода ожидания в Term, механизм экстренных предложений Beanstalk исполнял изменения злоумышленника немедленно.

DAO и организации Web3 демонстрируют различную активность в подаче предложений, и не все предложения понятны обычным пользователям. Это означает, что заинтересованная сторона может внести предложение, выгодное ей самой, и успешно провести его голосованием.