Hakerzy wyprowadzili 8,5 mln USD ze skarbców Term Finance

Nieznani napastnicy zdobyli kontrolę nad systemem zarządzania platformy pożyczkowej Term Finance i wyprowadzili z jej Meta Vaults około 2843 ETH (ok. 6,9 mln USD) oraz 1,68 mln USDC, łącznie około 8,5 mln USD. Atak polegał na przejęciu uprawnień w mechanice głosowania projektu.

Sprawcy wykorzystali niską płynność i skoncentrowane zasoby tokenów zarządczych, co pozwoliło im za relatywnie niewielki kapitał skupić większość głosów w DAO. Po uzyskaniu przewagi głosów przegłosowali zmiany przyznające im pełne uprawnienia do Meta Vaults, a następnie przesłali środki na zewnętrzne adresy i dokonywali szybkich konwersji stabilnych tokenów.

Analitycy on-chain zidentyfikowali szybkie ścieżki przepływu skradzionych aktywów oraz natychmiastową wymianę USDC na DAI, co utrudnia śledzenie końcowych transferów. Eksperci zwracają uwagę na różnicę między kosztem przejęcia kontroli w protokole a łączną wartością zarządzanych aktywów, dzięki czemu atak stał się opłacalny dla napastników.

Zespół Yearn wskazał, że skarbiec opierał się na architekturze Yearn V3, ale podatność wynikała z niestandardowej warstwy zarządczej dodanej przez Term Finance. Twórcy Term Finance natychmiast zablokowali zaimplementowane funkcje zarządcze, wyłączyli możliwość składania nowych depozytów i odcięli krytyczne uprawnienia. Zespół przekazał, że główne rynki pożyczkowe platformy nie zostały naruszone.

Skradzione aktywa stanowiły niemal 68% środków zgromadzonych w zaatakowanych vaultach. Przed incydentem ich łączna wartość wynosiła około 12,45 mln USD, w tym pula depozytów w Etherze opiewająca na około 8,8 mln USD.

W kwietniu 2025 roku Term Finance doświadczył już problemu technicznego, gdy błąd wyceny aktywów doprowadził do nieuzasadnionych likwidacji pozycji na około 918 ETH; wtedy część środków została odzyskana, a zespół pokrył straty użytkowników. Obecne śledztwo nad przepływem skradzionych aktywów jest w toku. Term Finance współpracuje z analitykami on-chain, a śledczy i firmy bezpieczeństwa blockchain monitorują dalsze ruchy. Użytkownicy powinni śledzić oficjalne komunikaty projektu w sprawie zabezpieczeń i ewentualnych rekompensat.