Term Finance verliest $8,5 miljoen na aanval op governance

De aanval trof vooral de Meta Vaults op Ethereum; Term Finance heeft nieuwe stortingen stopgezet en onderzoekt samen met securityteams of assets kunnen worden teruggehaald.

Korte samenvatting

• Term Finance verloor naar schatting $8,5 miljoen nadat een aanvaller via governance controle kreeg over delen van de lending vaults.
• De aanval trof vooral de Meta Vaults; Term sloot het product permanent en blokkeerde nieuwe stortingen.
• Term onderzoekt samen met securityteams het terughalen van assets en meldt dat bredere lending- en borrowing-markten niet zijn geraakt.

Ethereum lending platform Term Finance heeft naar schatting $8,5 miljoen (€7,3 miljoen) verloren nadat een aanvaller genoeg stemrecht wist te verzamelen om controle te krijgen over een deel van de lending vaults. De aanval trof vooral de Meta Vaults, waarna Term het product permanent heeft gesloten en nieuwe stortingen heeft geblokkeerd.

Hoe de aanval werkte

Volgens blockchaindata haalde de aanvaller ongeveer 2.843 ether en 1,68 miljoen USDC weg. Dat was samen goed voor ongeveer 68% van de assets in de vaults. Op het moment van de aanval was ether ongeveer $2.454,69 (€2.100) waard, waardoor de buit aan ether alleen al rond $6,9 miljoen (€5,9 miljoen) lag.

Opvallend is dat de aanvaller volgens onchain monitoringdienst Defimon goedkoop een meerderheid van de schaarse governance token van het project kocht. Die token gaf stemrecht over het beheer van het protocol. Daarna zou die stemmacht zijn gebruikt om voorstellen door te drukken die toegang gaven tot de vaults. Term heeft nog niet bevestigd hoe de meerderheid precies werd verkregen of welke governance-functies zijn gebruikt.

Gevolgen voor Term

Term zei in een maandagbericht dat de bredere lending- en borrowing-markten niet zijn geraakt, voor zover het eigen onderzoek nu laat zien. Het bedrijf werkt met externe securityteams aan het terughalen van assets en wil bekijken of resterende verliezen kunnen worden opgevangen.

De vaults waren gebouwd op Yearn V3-infrastructuur, software die deposits automatisch verplaatst tussen lending markets om het beste rendement te zoeken. Yearn zei dat de aanval draaide om een aangepaste governance-laag rond die technologie en niet om standaard Yearn vaults. Dat maakt de zaak vooral een voorbeeld van hoe in DeFi stemrecht zelf een aanvalsvector kan worden als governance tokens dun verspreid zijn en weinig worden gebruikt.

Voor dit soort incidenten is governance vaak net zo belangrijk als code. In een bredere analyse van crypto-hacks in 2026 werd al zichtbaar dat aanvallen steeds vaker draaien om governance en sleutelbeheer in plaats van alleen om smart contracts.

Eerdere problemen bij Term

De aanval komt niet uit het niets. In april 2025 zorgde een oracle-fout al voor ongeveer 918 ETH aan onbedoelde liquidaties bij Term. Het protocol wist toen het grootste deel van de middelen terug te halen, vergoedde getroffen gebruikers en beloofde meer transparantie rond governance en extra controle op belangrijke wijzigingen.

Voor Europese crypto-volgers is dit relevant omdat governance tokens in DeFi niet alleen zeggenschap geven, maar ook een zwakke plek kunnen zijn als de verdeling scheef is. In de Ethereum-wereld zijn de afgelopen jaren meerdere governance-gerelateerde verliezen gemeld, wat laat zien dat niet alleen code, maar ook menselijke en economische keuzes een rol spelen bij dit soort incidenten.