coindesk.com
Die Ethereum-Lending-Plattform Term Finance hat schätzungsweise 8,5 Millionen US-Dollar verloren, nachdem ein Angreifer offenbar genügend Stimmrechte erlangt hatte, um die Kontrolle über einige ihrer Lending-Vaults zu übernehmen.
Der Angreifer entfernte etwa 2.843 Ether $ETH$2.456,26, im Wert von rund 6,9 Millionen US-Dollar zum damaligen Zeitpunkt, sowie 1,68 Millionen USDC, wie Blockchain-Daten zeigen, und strich damit etwa 68 % der in den Tresoren von Term gehaltenen Vermögenswerte ab.
Term's Meta Vaults hielten vor dem Angriff etwa 12,45 Millionen US-Dollar, Daten von DefiLlama show. Fast der gesamte Betrag von etwa 8,8 Millionen US-Dollar in Ether, der in das Produkt eingezahlt wurde, wurde entnommen.
Das Ungewöhnliche ist, wie der Angreifer möglicherweise Zugang erlangt hat.
Onchain-Überwachungsdienst Defimon sagte, der Angreifer habe billig erwarb die Mehrheit des nur spärlich gehaltenen Governance-Tokens des Projekts, der den Inhabern Stimmrechte darüber verlieh, wie das Protokoll betrieben wird. Der Angreifer nutzte diese Stimmrechte offenbar, um Vorschläge durchzubringen, die ihm die Kontrolle über die Tresore gaben.
Term hat nicht bestätigt, wie der Angreifer die Mehrheitskontrolle erlangt hat oder welche Governance-Funktionen genau genutzt wurden. Das Produkt wurde nun dauerhaft eingestellt, neue Einzahlungen wurden gesperrt und die Governance-Berechtigungen, die Änderungen an den Tresoren ermöglichten, wurden entfernt.
Das breitere Term Finance-Protokoll sowie dessen direkte Kreditaufnahme- und Kreditvergabe-Märkte wurden nach bisherigen Untersuchungen des Unternehmens nicht beeinträchtigt, teilte das Team am Montag in einem Beitrag mit.
Term gab bekannt, dass es mit externen Sicherheitsteams zusammenarbeitet, um Vermögenswerte zurückzugewinnen, und wird Möglichkeiten prüfen, verbleibende Verluste abzudecken.
Die Tresore wurden unter Verwendung der Yearn V3-Infrastruktur entwickelt, einer weitverbreiteten Software, die Einlagen automatisch zwischen Kreditmärkten verschiebt, um die bestmögliche Rendite zu erzielen. Yearn gab bekannt, dass die Sicherheitslücke beinhaltete eine benutzerdefinierte Governance-Schicht, die um seine Technologie herum hinzugefügt wurde, und galt nicht für Standard-Yearn-Tresore.
Der Angriff hat auch eine gewisse Vorgeschichte.
Ein Orakel-Fehler im April 2025 löste bei Term unbeabsichtigte Liquidationen von etwa 918 $ETH aus. Das Protokoll konnte später den Großteil der Mittel wiederherstellen, betroffene Nutzer entschädigen und versprach eine höhere Governance-Transparenz sowie externe Validierung bei kritischen Änderungen.
Etwas mehr als ein Jahr später scheint die Governance selbst zum Schwachpunkt geworden zu sein – dort, wo von einer Abstimmung kontrollierte Vermögenswerte weit wertvoller sein können als die Tokens, die benötigt werden, um diese Abstimmung zu gewinnen.