Atak na Term Finance: kolejny cios dla bezpieczeństwa DeFi

W ciągu jednego dnia z Term Finance zniknęło około 8,5 mln dolarów, a sierpień 2026 r. stał się symbolem narastającego kryzysu bezpieczeństwa w DeFi.

Sedno sprawy

Term Finance, protokół pożyczkowy działający na Ethereum, padł 23 sierpnia 2026 r. ofiarą celowanego ataku na system zarządzania, w którego wyniku z jego skarbców wyprowadzono środki o szacowanej wartości 8,5 mln dolarów[2][3][10]. Według danych firm analitycznych PeckShield i CertiK, napastnik przejął kontrolę nad governance, a następnie przegłosował i wykonał zmiany umożliwiające transfer aktywów poza kontrolą dotychczasowych uczestników[3][10].

Z protokołu Term Finance miało zostać wypłacone około 2 843 ETH, wycenianych w momencie ataku na ok. 6,9 mln dolarów, oraz 1,68 mln USDC, które zostały szybko zamienione na zbliżoną kwotę w DAI[2][3][10]. Według serwisów monitorujących incydenty w DeFi, sam ten atak podniósł wartość strat z augustowych włamań powyżej 27 mln dolarów[2][7].

Operatorzy Term Finance wstrzymali działanie kluczowych funkcji protokołu i zapowiedzieli dochodzenie, jednak na moment publikacji artykułu brak było informacji o odzyskaniu środków lub identyfikacji sprawcy[3][10]. Dla użytkowników detalicznych oznacza to zamrożenie płynności i konieczność śledzenia komunikatów zespołu, a dla rynku – kolejną odsłonę problemów z bezpieczeństwem w segmencie pożyczek on-chain[1][6][12].

Jak do tego doszło

Atak na Term Finance wpisuje się w szerszą sekwencję zdarzeń, w której w 2026 r. rośnie zarówno liczba, jak i złożoność exploitów na protokołach DeFi. Według podsumowań rynku, od początku roku zanotowano już ponad 160 incydentów tego typu, co jest najwyższą wartością w historii kryptowalut[6][12].

Sierpień 2026 r. okazał się szczególnie napięty: serwisy takie jak DefiLlama odnotowały co najmniej 16 osobnych ataków w samym tylko tym miesiącu, z łącznymi stratami przekraczającymi 27 mln dolarów[2][7]. Wcześniej zaatakowane zostały m.in. Maya Protocol, gdzie 18 sierpnia napastnik wykorzystał sześć błędów w kodzie, aby wygenerować nieistniejące tokeny CACAO i wyprowadzić około 1,7 mln dolarów oraz spowodować ponad 80‑procentowy spadek ceny natywnego tokena[7][11].

W odróżnieniu od wielu klasycznych exploitów opartych na błędach w smart kontraktach, incydent w Term Finance dotyczył przede wszystkim mechanizmów governance – czyli sposobu, w jaki użytkownicy i podmioty posiadające tokeny zarządzania mogą wpływać na parametry i zasady działania protokołu[2][3][10][12]. Atakujący nie włamał się bezpośrednio do kodu pożyczek, lecz wykorzystał słabość systemu głosowań i kontroli zmian, co pozwoliło mu na legalnie wyglądające przegłosowanie i wykonanie szkodliwych propozycji[10][3].

Chronologicznie, wydarzenia w Term Finance nastąpiły po serii sygnałów ostrzegawczych dla DeFi: rekordowym II kwartale 2026 r., kiedy odnotowano 99 hacków z łącznymi stratami rzędu 746 mln dolarów, oraz działaniach projektów takich jak Allbridge czy Harmony, gdzie błędy w integracji z innymi łańcuchami skutkowały nieautoryzowanym mintem tokenów i utratą płynności[1][5][8][11]. Zdaniem ekspertów, rynek miał już wystarczająco dużo przesłanek, by traktować bezpieczeństwo governance tak poważnie, jak bezpieczeństwo samych smart kontraktów[6][12].

Głosy z rynku

Bezpośrednio po ujawnieniu ataku na Term Finance uwagę uczestników rynku przykuły dwa aspekty: wysokość straty oraz fakt, że exploit dotyczył mechanizmów zarządzania, a nie błędu w kodzie pożyczkowym[2][3][10]. Część komentatorów wskazywała, że to kolejny dowód na niedojrzałość modeli DAO, w których głosowanie tokenami bywa podatne na manipulacje lub przejęcie kontroli przez jednego, zdeterminowanego gracza[12].

„To nie jest klasyczny bug w smart kontrakcie, tylko strukturalna słabość governance. W praktyce oznacza to, że nawet poprawnie zweryfikowany kod nie chroni przed fatalnymi decyzjami przegłosowanymi przez wąską grupę posiadaczy tokenów” – mówi anonimowo starszy analityk w europejskim funduszu hedgingowym, który od początku roku ogranicza ekspozycję na mniejsze protokoły lendingowe[3][10][12]. Jego zdaniem podobne ataki będą powtarzać się, dopóki projekty nie wprowadzą bardziej złożonych mechanizmów kontroli i opóźnień w wykonywaniu zmian.

Reakcje cenowe były rozproszone. Sam Term Finance nie należy do największych projektów pod względem TVL, więc krótkoterminowy wpływ na główne aktywa, takie jak Bitcoin czy Ether, był ograniczony; w momencie ataku Bitcoin poruszał się w wąskim przedziale 62–66 tys. dolarów, a rynek koncentrował się na danych z ETF‑ów i ruchach instytucji[13][15]. Jednocześnie, według serwisów śledzących DeFi, inwestorzy zaczęli gwałtownie redukować pozycje w wybranych protokołach pożyczkowych, przenosząc środki do większych, długo działających platform oraz do spotowych ETF‑ów na Bitcoina i Ether[13][15].

Nie brakuje jednak opinii, że mimo serii incydentów rynek DeFi pozostaje atrakcyjny dla części inwestorów. „Stopa zwrotu na stabilnych protokołach wciąż przewyższa to, co można uzyskać na tradycyjnym rynku obligacji. Dla wielu inwestorów to wystarczający powód, by zaakceptować wyższe ryzyko technologiczne – pod warunkiem, że dywersyfikują i monitorują, w co dokładnie wchodzą” – podkreśla doradca w londyńskim biurze family office inwestującym w fundusze kryptowalutowe[1][6][13].

Szerszy obraz

Atak na Term Finance wpisuje się w szerszy trend, w którym bezpieczeństwo DeFi staje się jednym z kluczowych tematów dla regulatorów, instytucji i inwestorów detalicznych. W pierwszej połowie 2026 r. odnotowano ponad 200 incydentów kryptycznych, z czego około 125 dotyczyło bezpośrednio smart kontraktów, a pozostałe – m.in. słabości governance i błędów integracyjnych[6][12].

Według zestawień branżowych, straty z exploitów DeFi i cross‑chain od początku 2026 r. sięgają już ponad 800 mln dolarów, a cały rok jest na dobrej drodze, by stać się jednym z najbardziej kosztownych okresów dla bezpieczeństwa on-chain[1][6]. Ta dynamika kontrastuje z rosnącą adopcją instytucjonalną – kolejne fundusze zwiększają zaangażowanie w spotowe ETF‑y na Bitcoina, a regulacje w kluczowych jurysdykcjach, takich jak USA, upraszczają ścieżkę wprowadzania nowych produktów opartych na aktywach cyfrowych[9][13][15].

W Stanach Zjednoczonych regulator rynku kapitałowego zaproponował w sierpniu nowe zasady dotyczące ofert kontraktów inwestycyjnych z udziałem aktywów kryptowalutowych, w tym dwa specjalne wyjątki z obowiązku rejestracji emisji: jeden dla ofert do 5 mln dolarów w ciągu czterech lat oraz drugi dla ofert do 75 mln dolarów rocznie[9]. To sygnał, że tradycyjny rynek szuka ram dla legalnego finansowania projektów krypto, podczas gdy na nieuregulowanym obszarze DeFi wciąż mnożą się incydenty związane z bezpieczeństwem.

Dla polskiego inwestora oznacza to rosnące rozwarstwienie rynku: z jednej strony bardziej „oswojone” produkty, takie jak ETF‑y czy regulowane platformy wymiany, z drugiej – dynamiczny, lecz obciążony istotnym ryzykiem segment DeFi, w którym governance‑ataki, jak ten na Term Finance, mogą w kilka minut zniwelować wielomiesięczne zyski[1][2][6][12][13].

Co powinien wiedzieć inwestor?

Atak na Term Finance to przypomnienie, że w DeFi liczy się nie tylko audyt kodu, ale również konstrukcja mechanizmów zarządzania. Inwestor detaliczny, który korzysta z protokołów pożyczkowych, powinien brać pod uwagę ryzyko przejęcia governance oraz możliwość szybkiego przegłosowania zmian niekorzystnych dla użytkowników[2][3][10][12].

Praktycznie oznacza to konieczność analizy nie tylko rentowności i TVL danego projektu, ale też tego, kto faktycznie kontroluje tokeny zarządzania, jakie są procedury wprowadzania zmian oraz czy istnieją zabezpieczenia, takie jak okresy opóźnienia wykonania uchwał (timelock) czy wymogi szerokiej większości[6][12]. Warto też śledzić statystyki incydentów: wiele serwisów monitoruje na bieżąco liczbę i skalę hacków, co pozwala ocenić, które klasy protokołów – np. lending, mosty cross‑chain, DEX‑y – są w danym momencie najbardziej narażone[1][5][6][8].

W odróżnieniu od regulowanych ETF‑ów czy tradycyjnych funduszy, w DeFi praktycznie nie istnieje ochrona depozytów w przypadku utraty środków wskutek exploitu. Według analityków, część inwestorów detalicznych zaczyna traktować DeFi jako komponent portfela o charakterze wysokiego ryzyka, ograniczając ekspozycję i kompensując ją większym udziałem w produktach regulowanych, takich jak spotowe ETF‑y na Bitcoina i Ether[13][15].

• Sprawdzaj, jak działa governance w protokole: kto ma prawo głosu, jakie są progi większości, czy istnieje timelock zmian[3][10][12].
• Analizuj historię incydentów bezpieczeństwa w danym segmencie DeFi (lending, mosty, DEX) i porównuj ją z oferowanymi stopami zwrotu[1][6][8][11].
• Dywersyfikuj źródła yieldu: łącz DeFi z produktami regulowanymi, takimi jak ETF‑y na aktywa cyfrowe, zamiast koncentrować się na jednym typie ryzyka[9][13][15].
• Śledź komunikaty zespołów projektów oraz firm analitycznych (PeckShield, CertiK i inne), które często jako pierwsze informują o exploitach i rekomendowanych działaniach[2][3][10][12].

Kluczowe fakty w skrócie

• 23 sierpnia 2026 r. Term Finance, protokół lendingowy na Ethereum, został zaatakowany poprzez exploit governance[2][3][10].
• Szacowana strata wynosi ok. 8,5 mln dolarów, w tym 2 843 ETH (ok. 6,9 mln dolarów) oraz 1,68 mln USDC zamienionych na DAI[2][3][10].
• Sierpień 2026 r. przyniósł co najmniej 16 incydentów w DeFi, ze stratami przekraczającymi 27 mln dolarów[2][7].
• Od początku 2026 r. zanotowano ok. 164 hacki, a straty z exploitów DeFi i cross‑chain sięgają ponad 800 mln dolarów[1][6][12].
• Maya Protocol 18 sierpnia 2026 r. stracił ok. 1,7 mln dolarów po wykorzystaniu sześciu błędów w kodzie i niekontrolowanej emisji tokenów CACAO[7][11].
• W II kwartale 2026 r. odnotowano rekordowe 99 exploitów DeFi, ze stratami rzędu 746 mln dolarów[1][8].
• Amerykański regulator w sierpniu 2026 r. zaproponował nowe wyjątki rejestracyjne dla ofert kontraktów inwestycyjnych z udziałem aktywów kryptowalutowych, do 5 mln i 75 mln dolarów[9].