Term Finance, zdecentralizowany protokół pożyczkowy na Ethereum (ETH), stracił ok. 8,5 mln dol. po tym, jak napastnik wykorzystał luki w systemie governance i przejął kontrolę nad aktywami w skarbcach 23 sierpnia.
Najważniejsze informacje:
- Atakujący wyprowadził ok. 8,5 mln dol., w tym 2 843 ETH oraz ok. 1,68 mln dol. w stablecoinach – wynika z danych firm zajmujących się bezpieczeństwem blockchain.
- Celem były mechanizmy zarządzania (governance), a nie klasyczna luka w kodzie smart kontraktów.
- Według Blockaid, w I półroczu 2026 r. blockchain Ethereum odpowiadał za ok. 332 mln dol. strat w monitorowanych incydentach.
Eksploit Term Finance
Term Labs poinformowało: „Jesteśmy świadomi exploita związanego z governance, który dotknął nasze skarbce Term” i zapowiedziało publikację szczegółów po zakończeniu dochodzenia. Według szacunków PeckShield atakujący wyprowadził 2 843 ETH o wartości ok. 6,87 mln dol. oraz 1,68 mln USD Coin (USDC) z protokołu.
PeckShield podaje, że napastnik wymienił USDC na ok. 1,68 mln Dai (DAI), a portfel użyty do przeprowadzenia operacji otrzymał dodatkowo 2 ETH z miksera Tornado Cash. Ścieżka przepływu środków nie pozwala na jednoznaczną identyfikację sprawcy.
Z dotychczasowych ustaleń wynika, że atakujący zgromadził wystarczającą liczbę tokenów governance, by przegłosować propozycje dające mu kontrolę nad wybranymi skarbcami. Atak opierał się więc na wykorzystaniu zasad zarządzania protokołem, a nie na klasycznej podatności w kodzie smart kontraktów. Kluczową rolę odegrały niska frekwencja w głosowaniach i koncentracja siły głosu w rękach nielicznych podmiotów.
Zobacz także: Kolory iPhone’a 18 Pro wyciekły. Cosmic Orange ma zniknąć
Ryzyka bezpieczeństwa na Ethereum
Według danych Blockaid, w I połowie 2026 r. odnotowano 212 incydentów bezpieczeństwa on-chain, które łącznie przyniosły 1,1 mld dol. strat. Na samym Ethereum przypadło ok. 332 mln dol. Raport wskazuje, że głównymi źródłami strat były luki w aplikacjach oraz w logice samych protokołów.
Ataki na governance generują inny typ ryzyka, ponieważ złośliwe działania są przeprowadzane formalnie „dozwolonymi” ścieżkami kontroli, zamiast łamania kodu kontraktów.
W praktyce oznacza to, że oprócz audytów smart kontraktów kluczowe stają się: rozproszenie głosów, przejrzysty proces przeglądu propozycji oraz odpowiednio długie opóźnienia między głosowaniem a wykonaniem decyzji.
Term Finance ma już za sobą wcześniejszy incydent operacyjny z 26 kwietnia 2025 r., kiedy niespójność w precyzji danych z oracle’a doprowadziła do niezamierzonych likwidacji na ok. 918 ETH. Protokół odzyskał ok. 556 ETH, pozostawiając ostateczną stratę na poziomie 362 ETH, czyli ok. 650 tys. dol., i zapowiedział pełne zrekompensowanie poszkodowanym użytkownikom.
Przeczytaj następnie: Bitcoin i złoto jako zabezpieczenie przed kryzysem długu USA, ostrzega Ray Dalio
