Term подтверждает взлом, криминалистический отчёт ожидается

Term Labs подтвердила эксплойт через механизм управления, затронувший её хранилища, и сообщила, что расследование продолжается. Команда пока не опубликовала итоговый криминалистический разбор, не назвала конкретную взломанную функцию и не объяснила, как атакующий получил административный контроль.

Для контекста: Term Finance — протокол, созданный Term Labs, — специализируется на кредитовании под фиксированную ставку на фиксированный срок через репо-аукционы в Ethereum, а затронутые хранилища находятся на «курируемой» стороне этой архитектуры, где вкладчики размещают средства в одобренных администраторами стратегиях. Таким образом, взлом не затронул торговую площадку или мост — он поразил контракты хранилищ, хранящие средства вкладчиков, поэтому компрометация уровня управления превращается в прямой вопрос платёжеспособности для пользователей.

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026 (post on X)

До выхода этого отчёта показатели ущерба опираются на сторонний ончейн-анализ. PeckShield зафиксировала первоначальные выводы 2 843 ETH, а также примерно 1,68 млн долларов в USDC (впоследствии обменянных на DAI) с адреса, изначально пополненного на 2 ETH через Tornado Cash. CertiK Alert впоследствии проследила эти средства до основного кошелька атакующего. Сама схема финансирования — знакомый сигнал: Tornado Cash, миклер Ethereum, попавший под санкции OFAC Министерства финансов США в августе 2022 года, остаётся распространённым источником небольших кошельков с газом, используемых для запуска ончейн-атак.

#PeckShieldAlert @term_labs was exploited for ~$8.5M due to a governance exploit impacting Term vaults. The exploiter has drained ~2,843 $ETH ($6.87M) & 1.68M USDC ($1.68M) – which has already been swapped for ~1.68M $DAI The exploiter originally funded with 2 ETH from… pic.twitter.com/6ZRoDD9QK7

— PeckShieldAlert (@PeckShieldAlert), August 23, 2026 (post on X)

Эти цифры указывают на серьёзный взлом, однако они остаются оценками третьих сторон. Общий объём выведенных активов, актуальные балансы кошельков и фактический безвозвратный ущерб нередко расходятся после публикации полного постмортема.

Контекст: удар по TVL в размере 78%

По данным DefiLlama, на момент выхода новости в TermFinance Vaults было заблокировано около 10,87 млн долларов. На фоне вывода в 8,5 млн долларов это составляет примерно 78% видимого TVL протокола.

Это соотношение не означает, что было уничтожено 78% всего капитала вкладчиков. DefiLlama отслеживает ликвидные балансы стратегических хранилищ — включая свободный капитал и внешние резервы ERC-4626, стандарт Ethereum для токенизированных долей хранилищ, — отфильтровывая репо-токены Term во избежание двойного учёта. Эти динамичные показатели быстро меняются по мере вывода средств пользователями или переоценки активов.

Тем не менее потеря 8,5 млн долларов в экосистеме объёмом 11 млн долларов превращает нишевую проблему смарт-контрактов в серьёзную проверку платёжеспособности как для вкладчиков, так и для кураторов.

Когда управление находится слишком близко к капиталу

Документация по архитектуре Term описывает разделённую модель управления: операционный менеджер курирует ежедневные параметры аукционов, а роль governor контролирует лимиты рисков, интеграционные хуки и аварийные переключатели.

Что критически важно, роль governor вправе назначать кандидатов в губернаторы, заменять контроллер Term, корректировать пороги резервов, изменять правила обеспечения и приостанавливать исполнение основных стратегий. К механизмам безопасности, перечисленным в публичной документации Term, относятся мультисиг Gnosis Safe, семидневный timelock и право вето LP.

Захваты управления — повторяющийся паттерн, а не разовый случай. В апреле 2022 года DeFi-протокол Beanstalk потерял около 182 млн долларов после того, как атакующий при помощи флеш-кредита набрал достаточную долю голосов, чтобы протолкнуть вредоносное предложение по управлению. Отчёты о потерях от таких компаний, как Chainalysis и Immunefi, также неоднократно относили скомпрометированные приватные ключи и сбои контроля доступа к крупнейшим источникам украденных криптосредств в последние годы.

Эта система была создана для защиты средств пользователей. Данный эксплойт обнажает её обратную сторону: что происходит, когда сам надзорный аппарат становится вектором атаки?

Валидное исполнение против реальной безопасности

Стандартные эксплойты смарт-контрактов опираются на логические ошибки или математические просчёты, заставляя код вести себя нештатно. Эксплойты управления принципиально иные: код часто работает в точности как задумано — он просто исполняет вредоносные команды, отданные субъектом, получившим привилегированный доступ.

Если атакующий захватил права управления, а не обошёл ограничения смарт-контрактов, контракты Term, вероятно, обработали технически «валидные» операции. Это не служит утешением для пострадавших вкладчиков. Протокол не является безопасным лишь потому, что его административные функции исполняются корректно; он безопасен лишь тогда, когда злонамеренное получение этих административных прав невозможно или экономически нецелесообразно.

Аудиты проверяют, соблюдает ли код заданные права доступа. Они не гарантируют, что право голоса децентрализовано, что пассивные поставщики ликвидности заметят вредоносное предложение или что timelock даёт достаточно времени для остановки вредоносного исполнения.

Ред-тиминг управления хранилищами

Инцидент с Term даёт чёткий аудиторский чек-лист для любого протокола, полагающегося на административное управление:

• Область доступа: могут ли параметры управления изменить маршрутизацию стратегий, оракульные потоки данных или условия вывода за один вызов?
• Концентрация голосов: насколько легко получить или одолжить вес голосов либо административные подписи?
• Прозрачность предложений: доступны ли предлагаемые изменения состояния вкладчикам в читаемом виде до исполнения?
• Аварийные предохранители: может ли независимый аварийный мультисиг остановить исполнение в течение активного окна timelock?
• Атомарные изменения: есть ли ограничение на количество переменных риска, которое может изменить одно предложение?

Семидневный timelock даёт мало защиты, если предложения непрозрачны, держатели ключей вето не в сети или один payload способен изменить все параметры безопасности разом.

Что должен раскрыть постмортем Term

Грядущий постмортем Term должен выйти за рамки сырых долларовых итогов. Сообществу нужны точные сведения о том, какие хранилища были опустошены, какие именно действия управления были вызваны, как атакующий узурпировал право голоса и почему существующие timelock или аварийные вето не смогли заблокировать транзакцию.

Вкладчики также будут следить за планом устранения последствий. В прошлых инцидентах сопоставимого масштаба протоколы действовали по-разному: вели переговоры с атакующими, предлагали white-hat-вознаграждения или компенсировали пользователям убытки из средств казны; Term пока публично не взяла на себя ни одно из этих обязательств.

Отслеживание перемещений кошельков показывает, где оседают украденные средства. Объяснение того, было ли управление Term обойдено, неверно настроено или использовано во вред в соответствии с задуманной логикой, раскроет истинную первопричину — критическую разницу между дефектом кода и отказом системы полномочий.