Das dezentralisierte Kreditprotokoll Term Finance meldete einen geschätzten Verlust in Höhe von 8,5 Millionen US-Dollar, nachdem ein Angreifer am Sonntag die Steuereigenschaften der Strategiegelder des Unternehmens ausnutzte. Die Blockchain-Sicherheitsfirmen PeckShield und CertiK schätzten die Gesamtschadenssumm unabhängig voneinander auf 8,5 Millionen US-Dollar. PeckShield verweist auf die Entnahme von 2.843 Ether (ETH) im Wert von 6,87 Millionen US-Dollar und 1,68 Millionen USDC, die in 1,68 Millionen Dai (DAI) umgewandelt wurden.
Der gemeldete Verlust betrug etwa 68 % der 12,45 Millionen US-Dollar, die im Vault-Produkt von Term vor dem Angriff gehalten wurden, einschließlich fast aller 8,8 Millionen US-Dollar an Ethereum-Einzahlungen, wie aus Daten von Defillama hervorgeht. Term Labs bestätigte, dass es alle Term Meta Vaults irreversibel abgeschaltet hat und ihre Rollen als Verwaltungsorgane der DAO widerrufen hat, während die Funktionalität zur offenen Abhebung weiterhin aktiv war. Das Unternehmen erklärte, dass das zugrunde liegende Term-Protokoll sowie die Märkte für Direktkredite und -verleih nicht betroffen waren, jedoch die Überprüfung des Umfangs der Sicherheitslücke fortgesetzt wurde.
Die On-Chain-Monitoring-Dienstleister Defimon vermerkte, dass der Angriff auf die Erfassung einer Mehrheit der schwach gehaltenen Governance-Token für niedrige Kosten zugeht, was die Abarbeitung von Vorschlägen ermöglicht, die die Kontrolle über die Tresoren von Term erteilen. Term bestätigte nicht die Methode für den Erwerb der Governance-Rollen oder spezifizierte, welche Governance-Funktionen im Angriff ausgenutzt wurden. Die Tresorverträge nutzten die Infrastruktur von Yearn V3, obwohl Yearn klärte auf, dass der Angriff einen benutzerdefinierten Governance-Umhang beinhaltete und keine Auswirkungen auf standardmäßige Yearn-Tresorkonfigurationen hatte.
Term kooperiert mit externen Sicherheitsteams, um Bemühungen zur Wiederherstellung von Vermögenswerten und Fehlerbehebung voranzutreiben und erklärte, dass es Maßnahmen prüfen wird, um eventuelle restliche Defizite zu beheben. Der Vorfall folgt einem separaten Oracle-Fehler im April 2025, der zu 918 ETH an ungewollten Liquidationen führte, die Term teilweise zurückgewann und den betroffenen Nutzern erstattete. Als Reaktion auf diesen vorherigen Vorfall hat das Protokoll eine verstärkte Transparenz in der Governance sowie die Validierung durch Dritte für kritische Updates versprochen.
