Що сталося
23 серпня 2026 року зі сховищ DeFi-протоколу Term Finance вивели близько $8,5 млн. Смартконтракт при цьому не ламали: зловмисник скупив більшість токенів управління, провів через DAO власні пропозиції й цілком легально наказав сховищам віддати гроші. Оцінку втрат дали PeckShield і CertiK.
Деталі
| Показник | Значення на 23 серпня 2026 |
|---|---|
| Виведено | 2843 ETH (близько $6,87 млн) і 1,68 млн USDC |
| Що зробили зі стейблкоїном | обміняли приблизно на 1,68 млн DAI |
| Стартовий капітал зловмисника | 2 ETH з міксера Tornado Cash |
| TVL сховищ до атаки | $12,45 млн в усіх мережах, із них $8,8 млн в Ethereum |
| Частка втрат | близько 68% TVL сховищ |
Експлойт першим помітив моніторинговий бот Defimon компанії Decurity, згодом його підтвердили PeckShield і CertiK. Захист у сховищ був: семиденна затримка на виконання рішень DAO і право постачальників ліквідності накласти вето на транзакцію, що стоїть у черзі. Чому не спрацювало ні те, ні інше, Term Labs поки не пояснила — команда повідомила лише, що знає про експлойт управління та поділиться деталями після розслідування.
Що зробили одразу: депозити в Meta Vaults закрили назавжди, ролі управління в DAO відкликали, виведення коштів залишили відкритим.
Що це означає
Стосується це передусім постачальників ліквідності Term Finance: вони втратили близько двох третин того, що лежало у сховищах. Але висновок ширший за один протокол, і він про ціну контролю. Щоб розпоряджатися сховищами на $12,45 млн, вистачило скупити малоліквідний токен управління — а весь захід стартував із 2 ETH, заведених через міксер.
Це ризик, який можна перевірити наперед. Якщо ринкова вартість токенів управління помітно нижча за суму, якою це управління розпоряджається, захопити протокол дешевше, ніж зламати — і жоден аудит коду тут не врятує, бо код відпрацює штатно. Звідси практичне правило: перед заходом у дохідне сховище дивіться не лише на аудит, а й на те, скільки коштує більшість голосів і хто її тримає. Корисний і загальний фон — відтік TVL у DeFi показує, що тонка ліквідність зараз радше правило, ніж виняток.
Горизонт: найближча точка — розбір від Term Labs, де має проясніти, чому не спрацювали таймлок і вето постачальників ліквідності. До цього заходити в решту сховищ протоколу сенсу немає.
Контекст
Це не перший випадок 2026 року, коли протокол втрачає гроші через власне управління. У липні ми розбирали атаку на управління BonkDAO: там голоси на $4 млн відкрили доступ до казни на $20 млн. За підрахунками галузевих видань, серпень 2026 року дав у DeFi близько $27 млн втрат від атак.
