Governance-Exploit bei Term Finance: Warum geprüfter Code deine DeFi-Einlagen nicht schützt

Bei dem Ethereum-Kreditprotokoll Term Finance sind am 23. August 2026 rund 8,5 Millionen US-Dollar aus den Einlagentöpfen abgeflossen. Eine Sicherheitslücke im Programmcode brauchte der Angreifer dafür nicht. Er kaufte sich so viele Stimmrechte zusammen, bis er die Abstimmung über diese Töpfe allein gewinnen konnte. Danach hat er die Auszahlung an sich selbst beschlossen und den Beschluss ausgeführt.

Für dich als Anleger ist das der wichtigere Teil der Nachricht. Ein geprüftes Protokoll kann leerlaufen, ohne dass eine einzige Zeile Code bricht. Wer Guthaben in einem DeFi-Protokoll liegen hat, sollte deshalb wissen, wer dort über die Verwendung dieses Guthabens abstimmen darf und wie schnell ein solcher Beschluss wirksam wird.

Governance-Exploit bei Term Finance: Was am 23. August passiert ist

Term Finance ist ein Kreditprotokoll auf der Ethereum-Blockchain, das Kredite zu festen Zinssätzen vermittelt. Nutzer legen Guthaben in sogenannte Vaults ein, aus denen das Protokoll besicherte Darlehen ausreicht. Entwickelt wird es von Term Labs.

Nach Darstellung von Cryptobriefing, dessen Bericht sich auf Bestätigungen der Sicherheitsfirmen CertiK und PeckShield stützt, flossen rund 2.843 ETH und rund 1,6 Millionen DAI an eine einzige Empfängeradresse ab. Deren Kennung beginnt mit 0xD5183. Zu aktuellen Kursen entspricht der Abfluss den genannten rund 8,5 Millionen US-Dollar. Term Labs hat den Vorfall öffentlich bestätigt und eine ausführlichere Darstellung nach Abschluss der Untersuchung angekündigt. Das Team grenzt den Fall nach eigenen Angaben ausdrücklich von einer Schwachstelle im Smart Contract ab.

Ethereum ist die Blockchain, auf der das Protokoll läuft; wie sich der Kurs der zugehörigen Währung entwickelt, liest du in unserer Ethereum-Kursprognose. Für die Bewertung dieses Vorfalls spielt der Kurs allerdings keine Rolle. Entscheidend ist die Frage, wer über einen Einlagentopf verfügen darf.

Governance-Angriff erklärt: Wie eine Abstimmung einen Vault leert

Governance bezeichnet in einem DeFi-Protokoll die Regeln, nach denen über Änderungen entschieden wird. Wer Stimmtoken hält, darf Vorschläge einbringen und über sie abstimmen; erreicht ein Vorschlag die nötige Mehrheit, wird er ausgeführt. Das ist die Bauart, mit der ein Protokoll ohne zentrale Verwaltung auskommen soll.

Ein Governance-Angriff dreht genau diese Bauart um. Der Angreifer verschafft sich so viele Stimmrechte, dass er eine Mehrheit allein stellt, und beschließt dann etwas, das ihm nützt. Formal läuft dabei alles nach den Regeln des Protokolls ab. Es gibt keinen Einbruch, kein gestohlenes Passwort und keinen manipulierten Vertrag, sondern eine gewonnene Abstimmung.

Der Unterschied zu den bekannteren Angriffsarten ist praktisch bedeutsam. Ein Flash-Loan-Angriff oder ein Reentrancy-Fehler setzt einen Programmierfehler voraus, den ein Audit im Prinzip finden kann. Ein Governance-Angriff setzt nur voraus, dass Stimmgewicht käuflich ist und dass niemand rechtzeitig eingreift.

Strategy Vault und Meta Vault: Welche Töpfe der Angreifer kontrolliert hat

Ein Vault ist bei Term Finance ein abgegrenzter Einlagentopf mit eigener Anlagestrategie. Ein Meta Vault bündelt mehrere solcher Töpfe und verteilt die eingelegten Mittel auf sie.

Cryptobriefing beschreibt die erreichte Kontrolle sehr genau: In vier von fünf USDC-Strategy-Vaults kam der Angreifer auf 100 Prozent der Stimmrechte, im Ethereum Meta Vault auf rund 91 Prozent. Beides ist mehr als eine knappe Mehrheit. Mit einer solchen Stimmenlage lässt sich ein Vorschlag durchbringen und anschließend gegen jeden Widerspruch halten.

Die Zahlen erklären auch, warum der Schaden auf bestimmte Töpfe begrenzt blieb. Betroffen war das, worüber der Angreifer die Mehrheit hatte. Wer sein Guthaben in einem der anderen Töpfe liegen hatte, war nach der bisher veröffentlichten Darstellung nicht in derselben Weise betroffen. Eine vollständige Aufstellung, welcher Vault welchen Bestand verloren hat, liegt bislang nicht vor; Term Labs hat sie für den Abschluss der Untersuchung angekündigt.

Zwei ETH aus Tornado Cash: Wie aus Startkapital eine Stimmenmehrheit wurde

Die Anschubfinanzierung des Angriffs war nach dem Bericht von Cryptobriefing auffallend klein. Sie soll aus zwei ETH bestanden haben, die über Tornado Cash bezogen wurden. Tornado Cash ist ein Dienst, der die Verbindung zwischen Absender- und Empfängeradresse auf der Blockchain verwischt und damit die Nachverfolgung erschwert.

Aus diesem Startkapital hat der Angreifer schrittweise so viel Stimmgewicht aufgebaut, dass er die genannten Mehrheiten erreichte. Genau hier liegt die unangenehme Lehre des Falls: Der Aufwand für eine Übernahme bemisst sich am Preis der dafür nötigen Stimmrechte, kaum an der Größe des Topfes. Sind diese Stimmrechte günstig oder knapp gestreut, kann ein kleiner Einsatz über einen großen Bestand entscheiden.

Geprüfter Code, leerer Vault: Warum ein Audit einen Governance-Angriff nicht abfängt

Ein Audit ist die Prüfung des Programmcodes durch eine spezialisierte Firma. Geprüft wird dabei, ob der Code das tut, was er tun soll, und ob er sich zu unvorhergesehenem Verhalten verleiten lässt. Cryptobriefing hält zu diesem Fall fest, dass der Vorgang durch auditierte Verträge lief, ohne eine einzige Zeile Code zu brechen.

Das ist kein Vorwurf an die Prüfer, sondern eine Aussage über die Reichweite einer solchen Prüfung. Ein Audit beantwortet die Frage, ob der Code korrekt arbeitet. Es beantwortet nicht die Frage, ob die Verteilung der Stimmrechte einen feindlichen Zugriff zulässt. Cryptobriefing ordnet die Schwachstelle deshalb als architektonisch ein und verortet sie im Zusammenspiel von Tokenverteilung, geringer Wahlbeteiligung und fehlenden Zugriffsgrenzen bei der Verwaltung der Vaults.

Für dich heißt das: Das Siegel eines Prüfberichts sagt etwas über den Code aus und nichts darüber, wie die Macht in einem Protokoll verteilt ist. Wenn du DeFi-Kreditprodukte nutzt, lohnt vor der Einzahlung ein Blick auf beides. Welche Anbieter es in diesem Feld gibt und worin sie sich unterscheiden, zeigt unser Vergleich der Krypto-Lending-Anbieter.

Timelock: Warum die Verzögerung zwischen Beschluss und Ausführung entscheidet

Ein Timelock ist eine eingebaute Wartezeit zwischen dem Moment, in dem ein Beschluss die Mehrheit erreicht, und dem Moment, in dem er tatsächlich ausgeführt wird. In dieser Zeit kann jeder den Beschluss im Klartext lesen. Wer sein Guthaben nicht in einem Topf lassen will, über den gerade etwas Ungutes beschlossen wurde, kann es abziehen.

Der Timelock ist damit die einzige Schutzvorrichtung, die auch dann noch wirkt, wenn die Abstimmung bereits verloren ist. Er verhindert die Übernahme nicht. Er verhindert, dass Beschluss und Abfluss in derselben Sekunde zusammenfallen.

Wie ein fehlender Timelock wirkt, lässt sich an einem zweiten Fall genau nachlesen. Ob Term Finance eine solche Wartezeit vorgesehen hatte und wie lang sie gegebenenfalls war, geht aus den bislang veröffentlichten Darstellungen nicht hervor. Ich führe diesen Punkt deshalb ausdrücklich als offen und nicht als belegt.

Token of Power: Wie derselbe Ablauf im Juni 2026 schon einmal funktioniert hat

Der Fall Token of Power, kurz TOP, ist der besser dokumentierte Zwilling dieses Angriffsmusters. TRM Labs und Blockaid haben ihn ausgewertet, und die Beschreibungen decken sich in den tragenden Punkten.

TOP war ein auf Aragon aufgesetzter Stimmtoken auf Ethereum mit einem Gesamtangebot von lediglich 16.384 Stück. Aragon ist ein Baukasten, mit dem sich Abstimmungsregeln für ein Protokoll zusammenstellen lassen. Der Angreifer erwarb nach dieser Auswertung gut die Hälfte des Gesamtangebots und nutzte anschließend die Abstimmungsfunktion, um einen Vorschlag in einer einzigen Transaktion einzubringen, anzunehmen und auszuführen. Eine Wartezeit dazwischen gab es nicht.

Der Beschluss selbst prägte zehn Milliarden neue TOP an den Angreifer. Diese Menge wurde in einen Liquiditätspool geworfen und dort zu 944,2 WETH gemacht, was je nach herangezogener Quelle mit rund 1,5 bis 1,6 Millionen US-Dollar angegeben wird. Als Ursache benennen die Auswertungen ein Bündel: das winzige ursprüngliche Gesamtangebot, die fehlende Wartezeit, keine Obergrenze für die Ausgabe neuer Token und zu schwache Sicherungen in der Abstimmungskonfiguration.

Die Parallele zu Term Finance liegt im Ablauf, weniger in den Einzelheiten. Beide Male wurde Stimmgewicht eingekauft, beide Male über einen Dienst zur Verschleierung der Herkunft finanziert, beide Male endete der Vorgang mit einem regelkonformen Beschluss zulasten der Einleger.

Sieben Übernahmen auf drei Ketten: Was die Zählung von Blockaid zeigt

Dass es sich um ein Muster und nicht um zwei Einzelfälle handelt, lässt sich beziffern. Der Sicherheitsanbieter Blockaid hat für den Zeitraum von Juni bis Anfang August 2026 sieben Governance-Übernahmen auf drei Blockchains gezählt und den Gesamtschaden in seiner Auswertung mit rund 22 Millionen US-Dollar angegeben. Die Auswertung ist öffentlich einsehbar.

Auch bei uns im Bestand liegt ein solcher Fall. Wir haben am 7. Juli 2026 über einen Governance-Angriff auf die BONK DAO berichtet, bei dem es um eine Gemeinschaftskasse in zweistelliger Millionenhöhe ging. Diese Angabe stammt aus unserer eigenen Berichterstattung von jenem Tag und ist hier kein unabhängiger Beleg, sondern ein Hinweis auf die Vorgeschichte.

Der laufende Monat war ohnehin ereignisreich. Vor dem Abfluss bei Term Finance hatte der Datendienst DefiLlama für den August 2026 bereits 17 Sicherheitsvorfälle mit einem Schaden von rund 18,8 Millionen US-Dollar erfasst.

Governance-Risiko prüfen: Diese fünf Fragen klärst du vor jeder Einzahlung

Die folgenden Punkte lassen sich in der Dokumentation eines Protokolls oder auf dessen Governance-Seite nachlesen. Sie kosten wenige Minuten und beantworten die Frage, wie leicht sich ein Topf per Abstimmung öffnen lässt.

Wer darf abstimmen, und wie ist das Stimmgewicht verteilt? Ist das Gesamtangebot des Stimmtokens klein oder liegt ein großer Teil bei wenigen Adressen, ist eine Mehrheit günstig zu haben. Bei TOP genügte gut die Hälfte eines Gesamtangebots von nur 16.384 Token für die Mehrheit.

Gibt es eine Wartezeit zwischen Beschluss und Ausführung? Findest du keine Angabe zu einem Timelock, gehe davon aus, dass es keinen gibt. Ohne diese Frist bleibt dir im Ernstfall keine Gelegenheit, dein Guthaben abzuziehen.

Kann eine Abstimmung Guthaben direkt bewegen? Manche Protokolle lassen per Beschluss nur Parameter ändern, etwa Zinssätze oder Obergrenzen. Andere lassen den Abfluss von Einlagen an eine beliebige Adresse zu. Der zweite Fall ist der gefährliche.

Gibt es eine Obergrenze für die Ausgabe neuer Token? Fehlt sie, lässt sich eine Mehrheit per Beschluss beliebig vergrößern oder das Angebot verwässern. Das war im Fall TOP der eigentliche Hebel.

Wie hoch war die Beteiligung an den letzten Abstimmungen? Eine niedrige Beteiligung senkt die Schwelle für eine Übernahme erheblich, weil der Angreifer nur die tatsächlich abgegebenen Stimmen überbieten muss.

Was diese Prüfung nicht leistet

Sie schützt dich nicht vor einem Angriff, sie zeigt dir nur, wie teuer er wäre. Ein Protokoll mit breit gestreuten Stimmrechten und einer mehrtägigen Wartezeit ist deutlich schwerer zu übernehmen als eines ohne beides. Ein Restrisiko bleibt in jedem Fall.

Token Approvals widerrufen: Warum das gegen einen Governance-Angriff wenig hilft

Nach einem Vorfall in der DeFi-Welt lautet der Standardrat, die erteilten Token Approvals zu widerrufen. Eine Approval ist die Erlaubnis, die du einem Vertrag gibst, über eine bestimmte Menge deiner Token zu verfügen. Das ist ein sinnvoller Reflex, und du solltest ihn beibehalten.

Gegen diese Angriffsart greift er allerdings nur begrenzt. Bei einem Governance-Angriff wird nicht deine Wallet leergeräumt, sondern der Topf, in den du bereits eingezahlt hast. Über dieses Guthaben verfügt das Protokoll ohnehin regulär; der Beschluss ändert nur, wohin es geht. Der Widerruf einer Approval hindert künftige Zugriffe auf deine Wallet und holt eingelegtes Guthaben nicht zurück.

Wirksam ist in dieser Lage nur der Abzug aus dem betroffenen Topf, und der ist genau dann noch möglich, wenn eine Wartezeit ihn zulässt. Damit schließt sich der Kreis zum Timelock.

Verlust nach einem DeFi-Exploit: Was du für deine Steuerakte festhalten solltest

Wenn dich ein solcher Vorfall trifft, ist die Dokumentation das Erste, was du erledigen kannst, und das Einzige, was später nicht nachholbar ist. Halte fest, wann du eingezahlt hast, in welchen Topf, in welcher Menge, und sichere die Transaktionsnachweise aus der Blockchain sowie die Mitteilungen des Anbieters mit Datum.

Wie ein solcher Verlust steuerlich zu behandeln ist, ist eine Frage des Einzelfalls und in Teilen umstritten. Sie gehört zu deinem Steuerberater und nicht in einen Artikel; hier wäre jede pauschale Aussage unseriös. Was du beitragen kannst, ist eine lückenlose Aufstellung. Werkzeuge, die Transaktionen über mehrere Wallets hinweg zusammenführen, nehmen dir diese Arbeit weitgehend ab.

Term Finance im Mai 2025: Warum der frühere Vorfall anders gelagert war

Term Finance hatte bereits im Mai 2025 einen Verlust zu verzeichnen. Nach der Darstellung von Cryptobriefing gingen damals rund 1,5 Millionen US-Dollar verloren, Ursache war eine falsch gesetzte Dezimalstelle bei einem Kursdatendienst im Zuge eines routinemäßigen Updates. Dieser Fehler war nicht böswillig, und die Mittel wurden nach derselben Darstellung letztlich zurückgegeben.

Der Unterschied zum aktuellen Fall ist für die Einschätzung wesentlich. Ein interner Fehler lässt sich korrigieren, und die Gegenseite ist erreichbar. Beim Vorfall vom 23. August steht dagegen ein externer Akteur auf der anderen Seite, der sein Startkapital über einen Verschleierungsdienst bezogen hat. Cryptobriefing bezeichnet die Aussichten auf eine Rückholung der Mittel für die betroffenen Einleger entsprechend als unklar.

Governance-Exploit bei Term Finance: Was belegt ist und was offen bleibt

Belegt ist der Ablauf in seinen Grundzügen: die Höhe des Abflusses mit rund 2.843 ETH und rund 1,6 Millionen DAI, die Stimmenlage in den betroffenen Vaults, die Empfängeradresse, die Herkunft des Startkapitals und die Bestätigung durch Term Labs sowie durch CertiK und PeckShield. Diese Angaben stammen aus der Darstellung von Cryptobriefing vom 23. August 2026, die sich mit der Berichterstattung von CoinDesk und BeInCrypto zum selben Vorgang deckt.

Offen ist mehr, als eine Schlagzeile vermuten lässt. Es liegt keine Aufstellung vor, welcher Vault welchen Bestand verloren hat und wie viele Einleger betroffen sind. Ob und in welcher Länge eine Wartezeit zwischen Beschluss und Ausführung vorgesehen war, ist nicht veröffentlicht. Über eine Entschädigung ist nichts bekannt, und über die Identität des Angreifers ebenfalls nichts. Term Labs hat eine ausführlichere Darstellung angekündigt; bis dahin bleibt jede Aussage zu Verantwortlichkeiten Spekulation, und wir behaupten hier keine.

Grenzen dieser Darstellung

Dieser Text stützt sich auf öffentlich zugängliche Berichte und auf die Auswertungen von Blockaid und TRM Labs. Eine eigene Auswertung der Blockchain-Daten haben wir nicht vorgenommen. Die Kursangaben zum Zeitpunkt des Abflusses stammen aus den zitierten Quellen und können sich seither verändert haben.

Governance-Risiko prüfen: Was du daraus mitnimmst

1. Sieh nach, wer über deinen Einlagentopf abstimmen darf. Bevor du Guthaben in ein DeFi-Kreditprodukt gibst, kläre die fünf Fragen weiter oben, allen voran die nach der Wartezeit zwischen Beschluss und Ausführung. Einen Überblick über die Anbieter in diesem Feld gibt unser Krypto-Lending-Vergleich.
2. Trenne, was liegen bleibt, von dem, was arbeitet. Bestände, die du längerfristig hältst, gehören nicht in einen Topf, den eine Abstimmung öffnen kann. Für die Aufbewahrung außerhalb fremder Verfügungsgewalt hilft unser Hardware-Wallet-Vergleich. Wer stattdessen auf einer beaufsichtigten Plattform bleiben will, ist bei einem zugelassenen Anbieter besser aufgehoben als in einem Vault, dessen Verwendung eine Abstimmung bestimmt.
3. Dokumentiere sofort, wenn dich ein Vorfall trifft. Sichere Einzahlungsnachweise, Transaktionsdaten und die datierten Mitteilungen des Anbieters, bevor Oberflächen abgeschaltet werden. Ein Werkzeug aus unserem Vergleich der Krypto-Steuer-Tools und Portfolio-Tracker führt deine Transaktionen über mehrere Wallets hinweg zusammen.

(Stand: 23. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)