Term Labs sagt, dass betroffene Fixed-Rate-Lending-Positionen in Vaults wiederhergestellt wurden, Term-V1/V2-Verträge bleiben unberührt

Term Labs hat weitere Fortschritte bei der Reaktion auf den jüngsten Term-Vault-Vorfall gemeldet und erklärt, dass alle mit den betroffenen Vaults verbundenen Fixed-Rate-Lending-Positionen inzwischen wiederhergestellt wurden. Laut dem jüngsten öffentlichen Update des Projekts wurde die letzte Wiederherstellungstransaktion am 25. August um 14:52 UTC abgeschlossen.

Das Team betonte, dass sich der Vorfall nach der aktuellen Untersuchung offenbar auf liquide Vermögenswerte beschränkt habe, die in Strukturen im Zusammenhang mit Term Vaults gehalten wurden. Bei den V1- und V2-Lending-Verträgen von Term sei im Rahmen des Ereignisses kein Missbrauch festgestellt worden, und die direkten Lending-Märkte des Protokolls seien weiterhin wie vorgesehen gelaufen, einschließlich der Funktionen für Einzahlungen, Rückzahlungen und Liquidationen.

Für Nutzer, die DeFi-Sicherheitsvorfälle im Jahr 2025 verfolgen, ist dieser Fall eine weitere Erinnerung daran, dass Risiken nicht immer aus der Kernlogik eines Lending-Protokolls stammen. Governance-Kontrollen, Strategieparameter, Preisadapter und Vault-Routing können ebenso wichtige Angriffspunkte sein.

Was Term Labs nach eigenen Angaben wiederhergestellt hat

Die wichtigste Entwicklung ist, dass die mit den betroffenen Vaults verknüpften Fixed-Rate-Loan-Positionen zurückgeholt wurden. Das ist deshalb relevant, weil das Protokoll von Term auf Fixed-Rate-Lending-Märkte ausgelegt ist, in denen Kreditnehmer und Kreditgeber über zeitgebundene Kreditmärkte statt über variabel verzinste Pools miteinander interagieren.

Term Labs erklärte, dass die Fixed-Rate-Kredite selbst nicht direkt vom Angreifer getroffen worden seien. Allerdings habe es ein sekundäres Risiko gegeben: Wenn Kredite fällig werden, könnten Rückzahlungen in Vaults zurückfließen, die von dem Vorfall betroffen waren. Um dieses Risiko zu verringern, seien die relevanten Verträge im Vorfeld aktualisiert und migriert worden.

Zum Zeitpunkt des Updates blieben Meta Vaults und damit verbundene Strategien deaktiviert. Das Team wies außerdem darauf hin, dass einige verbleibende Vaults mit geringer Aktivität noch bearbeitet würden.

Für Leser, die mit Term nicht vertraut sind: Das Protokoll konzentriert sich auf fest verzinstes Borrowing und Lending in DeFi. Weitere Informationen zur Marktstruktur des Projekts finden sich auf der offiziellen Term Finance-Website.

Umfang des Vorfalls: Vault-Assets, nicht die Kern-Lending-Märkte

Ein zentraler Punkt des Updates von Term Labs ist die Unterscheidung zwischen der Vault-Infrastruktur und dem Kernprotokoll für Lending.

Nach den aktuellen Erkenntnissen des Teams:

• Der betroffene Bereich beschränkte sich auf bestimmte Liquiditäts-Assets in Term Vaults.
• Meta Vaults und die dazugehörigen Strategien wurden nach dem Vorfall abgeschaltet.
• Bei den Term-V1- und V2-Verträgen wurde keine Kompromittierung festgestellt.
• Die direkten Lending-Märkte funktionierten weiterhin normal.
• Einzahlungs-, Rückzahlungs- und Liquidationsmechanismen blieben intakt.

Diese Trennung ist für DeFi-Nutzer wichtig, weil viele moderne Protokolle modular aufgebaut sind. Ein nutzerseitiges Produkt kann Lending-Verträge, Vaults, Governance-Module, automatisierte Strategien, Preisadapter und Token-Wrappers kombinieren. Selbst wenn der Basis-Lending-Markt sicher ist, können zusätzliche Komponenten neue Risiken einführen.

Das ist Teil eines breiteren Branchentrends: Je stärker DeFi-Protokolle komponierbar werden, desto mehr müssen Sicherheitsprüfungen über den „Hauptvertrag“ hinausgehen und jedes privilegierte Element einbeziehen, das Gelder bewegen oder Annahmen verändern kann.

Wie der Angriff Berichten zufolge ablief

Die technische Analyse von Term Labs deutet darauf hin, dass der Angreifer eher einen mehrstufigen Ansatz als einen einfachen Smart-Contract-Fehler verwendet hat.

Den Berichten zufolge finanzierte der Angreifer eine operative Wallet über Tornado Cash, ein Privacy-Tool, das von Regulierungsbehörden und Blockchain-Analysefirmen intensiv diskutiert wurde. Das Office of Foreign Assets Control des US-Finanzministeriums hat bereits zuvor Durchsetzungsmaßnahmen im Zusammenhang mit Tornado Cash veröffentlicht, was die anhaltende Spannung zwischen Datenschutz-Infrastruktur und Bedenken wegen illegaler Finanzströme widerspiegelt. Leser können den breiteren regulatorischen Kontext in der Tornado-Cash-Mitteilung des US-Finanzministeriums nachlesen.

Von dort aus scheint der Angreifer Governance-Mechanismen missbraucht zu haben. Term Labs sagte, die schädliche Aktivität habe Governance-Vorschläge umfasst, mit denen die Governance-Verzögerungen für mehrere Strategien auf null reduziert wurden. Dadurch wurde faktisch ein zusätzlicher Sperrzeitraum umgangen, der für Liquiditätsanbieter vorgesehen war.

Nachdem diese zeitlichen Schutzmechanismen geschwächt worden waren, setzte der Angreifer Berichten zufolge gefälschte Komponenten ein, darunter:

• einen falschen Controller
• einen manipulierten Preisadapter
• ein betrügerisches Repo-Token
• Strategieparameter-Änderungen, die darauf ausgelegt waren, Werte umzuleiten

Durch die Kombination aus der Manipulation von Governance-Verzögerungen mit gefälschter Infrastruktur und dem Missbrauch des Preismechanismus konnte der Angreifer liquide Vermögenswerte aus einigen ETH- und USDC-Strategien abziehen.

Die Lehre daraus ist klar: Governance ist nicht bloß eine Verwaltungsebene. In DeFi verfügt Governance oft über die Befugnis, Risikoparameter zu ändern, neue Module zu genehmigen, Oracle-Pfade zu konfigurieren und das Verhalten von Vault-Strategien zu steuern. Wenn die Governance-Schutzmechanismen versagen, kann die Auswirkung einem direkten Exploit ähneln.

Warum Governance-Verzögerungen für die DeFi-Sicherheit wichtig sind

Eine Governance-Verzögerung, manchmal auch Timelock genannt, ist ein entscheidender Schutzmechanismus. Sie schafft einen Wartezeitraum zwischen der Annahme eines Vorschlags und seiner Ausführung und gibt Nutzern, Liquiditätsanbietern, Sicherheitsteams und Monitoring-Systemen Zeit zu reagieren.

Eine gut gestaltete Verzögerung kann es Nutzern ermöglichen, Gelder abzuheben, bevor eine riskante Änderung wirksam wird. Außerdem erhalten unabhängige Forscher und automatisierte Überwachungstools mehr Zeit, um bösartige Vorschläge zu erkennen.

Der Term-Vault-Vorfall zeigt, warum Protokolle vorsichtig mit jeder Governance-Aktion sein sollten, die schützende Verzögerungen verkürzen oder entfernen kann. In hochvolumigen DeFi-Systemen kann die Möglichkeit, einen Timelock auf null zu setzen, selbst zu einem gefährlichen Privileg werden.

Für technischen Hintergrund zu Smart-Contract-Sicherheitsprinzipien bietet die Ethereum-Dokumentation zur Smart-Contract-Sicherheit einen nützlichen Einstieg.

Fixed-Rate-Lending und das Risiko indirekter Exponierung

Einer der differenzierteren Punkte im Update von Term Labs ist, dass Fixed-Rate-Loan-Positionen nicht direkt ausgenutzt wurden, aber dennoch wegen ihrer Verbindung zu den betroffenen Vaults Wiederherstellungs- und Migrationsarbeiten erforderten.

Das ist in DeFi eine häufige Komplexität. Ein Nutzer kann annehmen, nur einem Lending-Position-Risiko ausgesetzt zu sein, doch der Abwicklungsweg, der Collateral-Pfad, das Ziel für Rückzahlungen oder ein Strategiewrapper können indirekte Risiken einführen.

Im Fall von Term lag die Sorge nicht darin, dass die Kredite selbst geleert wurden, sondern dass fällige Positionen in betroffene Vault-Infrastrukturen zurückführen könnten. Durch das frühzeitige Aktualisieren und Migrieren der relevanten Verträge, bevor sich Risiken im Zusammenhang mit Fälligkeiten materialisierten, versuchte das Team, nachgelagerte Risiken einzudämmen.

Für DeFi-Nutzer ist dieser Unterschied wichtig. Ein Protokoll zu bewerten bedeutet, über das Schlagwort-TVL oder APY hinauszuschauen. Nutzer sollten verstehen:

• Wo Vermögenswerte während ihrer Untätigkeit verwahrt werden
• Welche Verträge Gelder bewegen können
• Ob Vaults automatisierte Strategien nutzen
• Wie Preisfeeds und Adapter konfiguriert sind
• Welche Governance-Befugnisse existieren
• Ob Notabschaltungen glaubwürdig sind

Untersuchung und Wiederherstellungsbemühungen laufen weiter

Term Labs erklärte, dass es mit Strafverfolgungsbehörden und Cybersicherheitsfirmen zusammenarbeitet, um die Identität des Angreifers zu untersuchen. Das Team habe den zuständigen Behörden außerdem Informationen zur Verfügung gestellt, um die laufende Untersuchung zu unterstützen.

Dieser Ansatz spiegelt einen breiteren Wandel in der Krypto-Incident-Response wider. In früheren DeFi-Zyklen wurden viele Exploits fast ausschließlich über öffentliche Verhandlungen oder On-Chain-Nachrichten behandelt. Im Jahr 2025 beziehen größere Vorfälle zunehmend Blockchain-Forensik-Anbieter, Überwachung zentralisierter Börsen, Rechtsberatung und die Koordination mit Strafverfolgungsbehörden mit ein.

Auch die Blockchain-Analyse ist deutlich ausgefeilter geworden. Selbst wenn Angreifer Mixer oder mehrstufige Routing-Pfade verwenden, können Ermittler weiterhin Zeitmuster, Finanzierungsverbindungen, Bridge-Aktivitäten, Einzahlungen an Börsen oder operative Fehler zurückverfolgen. Chainalysis hat in seinem jährlichen Crypto Crime Report umfangreiche Forschung zur Entwicklung von Krypto-Kriminalität und illegalen Geldflüssen veröffentlicht.

Worauf Nutzer als Nächstes achten sollten

Für Term-Nutzer und DeFi-Teilnehmer im weiteren Sinne sind mehrere Punkte für die weitere Beobachtung relevant:

1. Endgültiger Status der verbleibenden Vaults
   Term Labs hat mitgeteilt, dass einige Vaults mit geringer Aktivität noch bearbeitet werden. Nutzer sollten die offiziellen Kommunikationskanäle für Abschluss-Updates im Blick behalten.

2. Details der Nachbereitung
   Ein vollständiger technischer Post-Mortem wäre wertvoll, insbesondere wenn darin die Timelines der Governance-Vorschläge, privilegierte Rollen und Überwachungslücken geklärt werden.

3. Stärkung der Governance
   Die wichtigste langfristige Frage ist, ob Term stärkere Einschränkungen bei Änderungen an Verzögerungen, Controller-Freigaben, Strategie-Updates und der Bereitstellung von Adaptern einführt.

4. Audits oder Reviews durch Dritte
   Eine unabhängige Überprüfung kann das Vertrauen der Nutzer stärken, besonders wenn das Problem mehrere miteinander interagierende Module statt nur einen einzelnen Vertrag betrifft.

5. Entschädigung oder Dokumentation der Nutzerbetroffenheit
   Nutzer werden präzise Informationen über betroffene Salden, wiederhergestellte Positionen und etwaige Restrisiken wollen.

Sicherheitslehren für DeFi-Nutzer

Dieser Vorfall unterstreicht mehrere praktische Gewohnheiten für alle, die DeFi-Lending-Plattformen, Vaults oder strukturierte Yield-Produkte nutzen.

Erstens sollten Nutzer nicht davon ausgehen, dass „nicht betroffen“ gleichbedeutend mit „keine Aktion erforderlich“ ist. Wenn ein Protokoll Verträge aktualisiert, Strategien deaktiviert oder Vaults migriert, sollten Nutzer die offiziellen Anweisungen sorgfältig lesen und es vermeiden, mit verdächtigen Links zu interagieren.

Zweitens verdienen Governance-Änderungen Aufmerksamkeit. Bösartige Vorschläge sind nicht immer auf den ersten Blick erkennbar, vor allem wenn sie technische Sprache verwenden oder scheinbar routinemäßige Parameter ändern.

Drittens bleibt die Wallet-Sicherheit eine separate, aber unverzichtbare Ebene. Ein Protokollvorfall kann Phishing-Kampagnen, gefälschte Claim-Seiten und bösartige „Wiederherstellungs“-Links nach sich ziehen. Nutzer sollten URLs prüfen, keine unbekannten Transaktionen signieren und langfristige Bestände von aktiven DeFi-Wallets trennen.

Eine Hardware-Wallet wie OneKey kann helfen, das Signaturrisiko zu verringern, indem sie private Schlüssel offline hält und vor der Freigabe von Transaktionen eine Bestätigung direkt auf dem Gerät verlangt. Das eliminiert Smart-Contract-Risiken nicht, kann Nutzer aber vor vielen Bedrohungen auf Wallet-Ebene schützen, die nach öffentlichen DeFi-Vorfällen häufig zunehmen.

Abschließende Gedanken

Das Update von Term Labs legt nahe, dass die zentralen Fixed-Rate-Lending-Verträge von Term V1 und V2 nicht kompromittiert wurden, während die mit den betroffenen Vaults verknüpften Fixed-Rate-Lending-Positionen wiederhergestellt worden sind. Dennoch ist der Vorfall bedeutsam, weil er zeigt, wie Governance-Kontrollen, das Design von Vault-Strategien und Berechtigungen für Preisadapter zu kritischen Sicherheitsabhängigkeiten werden können.

Da DeFi weiter reift, sollten Nutzer und Protokolle Vault-Architektur und Governance-Prozesse gleichermaßen als zentrale Sicherheitsfragen behandeln. Die nächste Generation des DeFi-Risikomanagements wird sich nicht darauf beschränken, nur Lending-Verträge zu prüfen; sie wird eine fortlaufende Überwachung jedes Moduls erfordern, das den Vermögensfluss, die Preisbildung, Berechtigungen und Auszahlungswege beeinflussen kann.