Platforma pożyczkowa Term Finance straciła około 8,5 mln USD po tym, jak nieznani sprawcy przejęli kontrolę nad jej skarbcami. Operacja opierała się na wykorzystaniu słabości systemu głosowania tokenami i przejęciu władzy nad protokołem.
Atakujący zrealizowali niezwykle prosty, ale bezwzględny plan nakreślony przez mechanikę samej sieci. Wykorzystali oni fakt, że tokeny zarządcze projektu były niskopłynne i w niewielkim stopniu rozproszone wśród społeczności.
Skupienie większościowej liczby głosów wymagało stosunkowo niewielkiego kapitału, co umożliwiło hakerom błyskawiczne zdobycie pakietu kontrolnego w systemie DAO. Zyskawszy przewagę, przegłosowali oni propozycje zmian, które przyznały im pełną władzę nad tzw. Meta Vaults, skąd niezwłocznie wytransferowano środki finansowe. W ten sposób udało im się wyprowadzić z platformy około 2843 sztuk Ethereum o wartości blisko 6,9 mln USD oraz 1,68 mln USDC, które szybko wymieniono na jednostki DAI.
Skradziony majątek stanowił niemal 68% wszystkich aktywów zgromadzonych we wspomnianych skarbcach. Przed incydentem całkowita wartość zdeponowanych w nich środków wynosiła 12,45 mln USD, przy czym skradziona została niemal cała pula depozytów złożonych w kryptowalucie Ethereum opiewająca wcześniej na 8,8 mln USD.
Infrastruktura pod lupą
Eksperci z branży bezpieczeństwa cyfrowego natychmiast wyłapali nietypowy charakter całego zdarzenia, w którym mechanika rynkowa posłużyła za wytrych do sejfu. Firma PeckShield, która zajmuje się analityką on-chain, zwraca uwagę na precyzyjne ścieżki przepływu skradzionych środków i wskazuje na błyskawiczną konwersję stabilnych tokenów USDC na DAI. Z kolei analitycy z CertiK Osint zauważyli, że główną przyczyną podatności na atak była rażąca różnica między kosztem przejęcia władzy w protokole a łączną wartością zarządzanego przez niego majątku.
Przedstawiciele projektu Yearn podkreślają, że wykorzystany w atakach skarbiec opierał się wprawdzie na architekturze Yearn V3, ale sama podatność wynikała wyłącznie z niestandardowej warstwy zarządczej dodanej przez zespół Term Finance. Twórcy platformy zablokowali już zaimplementowane funkcje zarządcze, wyłączyli możliwość składania nowych depozytów i odcięli krytyczne uprawnienia, jednocześnie uspokajając użytkowników, że główne rynki pożyczkowe nie zostały naruszone.
Lekcja z przeszłości pozostaje nieodrobiona
To nie pierwszy raz, gdy wspomniany projekt zmaga się z poważnymi problemami natury technicznej i operacyjnej. W kwietniu 2025 roku awaria wyceny aktywów doprowadziła do nieuzasadnionej likwidacji pozycji użytkowników na kwotę około 918 sztuk Ethereum. Wówczas zespołowi Term Finance udało się odzyskać większą część utraconych środków, pokryć straty poszkodowanych inwestorów. To właśnie wtedy zapowiedziano wprowadzenie znacznie większej przejrzystości w strukturach zarządczych. Jak pokazały wydarzenia z bieżącego okresu, to właśnie te same obiecane mechanizmy decyzyjne okazały się najsłabszym ogniwem całej architektury finansowej.
Przeczytaj o imponującym skoku cenowym BTC:
Bitcoin nagle wystrzelił w górę. Krótkie pozycje zmiecione z powierzchni ziemi
oraz o tym, jak sekundy mogą zdecydować o udanej transakcji w świecie krypto:
Zarobił 49 mln USD na spadkach kryptowalut. Jeden błąd wyczyścił mu konto w 12 sekund