Что произошло
23 августа 2026 года из хранилищ DeFi-протокола Term Finance вывели около $8,5 млн. Смарт-контракт при этом не ломали: атакующий скупил большинство токенов управления, провёл через DAO собственные предложения и легально приказал хранилищам отдать деньги. Оценку потерь дали PeckShield и CertiK.
Детали
| Показатель | Значение на 23 августа 2026 |
|---|---|
| Выведено | 2843 ETH (около $6,87 млн) и 1,68 млн USDC |
| Что сделали со стейблкоином | обменяли примерно на 1,68 млн DAI |
| Стартовый капитал атакующего | 2 ETH из миксера Tornado Cash |
| TVL хранилищ до атаки | $12,45 млн во всех сетях, из них $8,8 млн в Ethereum |
| Доля потерь | около 68% TVL хранилищ |
Эксплойт первым заметил мониторинговый бот Defimon компании Decurity, затем его подтвердили PeckShield и CertiK. Защита у хранилищ была: семидневная задержка на исполнение решений DAO и право поставщиков ликвидности наложить вето на поставленную в очередь транзакцию. Почему ни то, ни другое не сработало, Term Labs пока не объяснила — команда сообщила лишь, что знает об эксплойте управления и поделится деталями после разбора.
Что сделали сразу: депозиты в Meta Vaults закрыли навсегда, роли управления у DAO отозвали, вывод средств оставили открытым.
Что это значит
Касается это в первую очередь поставщиков ликвидности Term Finance: они потеряли около двух третей того, что лежало в хранилищах. Но урок шире одного протокола, и он про цену контроля. Чтобы распоряжаться хранилищами на $12,45 млн, хватило скупки малоликвидного токена управления — а весь заход стартовал с 2 ETH, заведённых через миксер.
Это проверяемый риск, а не абстракция. Если рыночная стоимость токенов управления заметно ниже суммы, которой это управление распоряжается, захват протокола дешевле его взлома — и никакой аудит кода тут не поможет, потому что код отработает штатно. Отсюда практическое правило: перед заходом в доходное хранилище смотрите не только на аудит, но и на то, сколько стоит большинство голосов и кто его держит. Полезен и общий фон — отток TVL в DeFi показывает, что тонкая ликвидность сейчас скорее правило, чем исключение.
Горизонт: ближайшая точка — разбор Term Labs, где должно проясниться, почему не сработали таймлок и вето поставщиков ликвидности. До этого заходить в оставшиеся хранилища протокола смысла нет.
Контекст
Это не первый случай в 2026 году, когда протокол теряет деньги через собственное управление. В июле мы разбирали атаку на управление BonkDAO: там голоса на $4 млн открыли доступ к казне на $20 млн. По подсчётам отраслевых изданий, август 2026 года дал в DeFi около $27 млн потерь от атак.
