Term Finance Governance – Ausnutzung und Sicherheitsprobleme in DeFi

• Term Finance verlor 8,5 Millionen Dollar, als ein Angreifer die On-Chain-Governance des Unternehmens manipulierte, um den sieben-tägigen Zeitlimit auf null zu setzen – dadurch konnte der Vault sofort leeren werden.
• Dieser Vorfall zeigt eine allgemeine Entwicklung im Jahr 2026: Angreifer verlagern ihre Angriffe von Fehlern in den Smart Contracts auf die Ausnutzung der Governance- und Zugriffskontrollmechanismen.
• Das Sandbox-Netzwerk wird die Mittel aus den Finanzen verwenden, um den Nutzern entgegenzukommen – 1:1 – für das verlorene SAND bei dem Bridge-Hack am 21. August. Dadurch wird vermieden, dass neue Tokens erstellt werden, um die Stabilität der Tokenmenge zu bewahren.
• Mutual Federal Bancorp hat offiziell einen Plan zur Umwandlung von einer gemeinschaftlichen Ersparnisinstitution in eine Aktiengesellschaft angenommen. Dies stellt den zweiten Schritt in ihrer Reorganisation dar.

Term Finance, ein DeFi-Lending-Protokoll mit festem Zinszahlungsprozess auf Ethereum, erlitt einen Verlust von 8,5 Millionen Dollar aufgrund eines Angriffs auf das Governance-System am 24. August 2026. Die Sicherheitsfirmen PeckShield und CertiK bestätigten den Angriff und unterschieden ihn von traditionellen Ausfällen in Smart Contracts. Der Angreifer zielte auf das Governance-System des Protokolls ab, nicht auf den Kerncode des Protokolls selbst – er manipulierte insbesondere die Proposal- und Abstimmungsmechanismen des Protokolls.

Die Angriffsmöglichkeit basierte auf dem Zeitfenstermechanismus von Term Finance. Dieser Mechanismus verlangt in der Regel eine sieben-tägige Verzögerung zwischen der Genehmigung einer Vorschläge und deren Umsetzung, damit die Gemeinschaft eingreifen kann. Der Angreifer genehmigte einen Governance-Vorschlag, der dieses Zeitfenster auf Null setzte. Mit der Beseitigung des Abkühlungszeitraums wurde der böse Vorschlag sofort umgesetzt – dadurch hatte der Angreifer direkten Zugriff auf die Transaktionen, die den Vault entleeren.

Der Angreifer entzog etwa 2.841,74 WETH sowie 1,68 Millionen USDC – indem er die Stablecoins gegen DAI austauschte – um die Ermittlungs- und Beschlagnahmebemühungen zu erschweren. Dieser Vorfall ist Teil einer größeren Sicherheitskrise im August 2026: Insgesamt gab es mindestens 17 Sicherheitsvorfälle im Bereich DeFi, wobei die Gesamtsumme der Schäden über 27 Millionen Dollar lag. Im Gegensatz zu früheren Angriffen, bei denen die Brücken durch Fehler bei der Überprüfung von Nachrichten angegriffen wurden, zeigt die Verletzung durch Term Finance eine strukturelle Schwachstelle im Design der Regelungssysteme.

Die Governance-Module, die es ermöglichen, das Protokoll dezentral zu aktualisieren, werden zu wertvollen Zielen, wenn die Abstimmungsprozesse manipuliert werden können, um Sicherheitsmaßnahmen wie die Zeitbeschränkungen zu unterbrechen. Der Angriff zeigt, dass sich das Sicherheitsniveau im Bereich DeFi ändert. Während die Protokolle die Kernverträge gegen Reentraniereffekte und Fehler der Oracles schützen, konzentrieren sich Angreifer auf die Governance- und Zugriffskontrollschichten.

Der Begriff „Finance Breach“ deutet darauf hin, dass auch Zeitbeschränkungen selbst Angriffspunkte sein können, wenn sie nicht durch fest vorgegebene Schwellenwerte oder mehrfache Überwachungsmechanismen geschützt werden. Dies zeigt, warum es notwendig ist, dass Auditor die Governance-Mechanismen genauso streng behandeln wie die Kernlogik der Kreditvergabe.

Welche ist die neue Richtung der Sicherheitsrisiken im Bereich DeFi?

Fehler im Design der Wahlsysteme können alle Vermögenswerte gefährden – obwohl die Smart-Contract-Audits sehr gut sind. Der Term Finance-Fall zeigt, dass strukturelle Schwächen im Governance-Design nun die Hauptangriffspunkte sind. Angreifer müssen nicht mehr komplexe Fehler im Code finden; sie können einfach die Mechanismen nutzen, die dazu dienen, das Protokoll zu sichern.

Die Sandbox bestätigte einen vollständigen Erstattungsplan für Nutzer, die während einer Sicherheitslücke am 21. August etwa 14,7 Millionen SAND-Token verloren hatten. Die Entschädigung wird in Ethereum-basierten SAND-Formaten für die berechtigten Inhaber der Base- und BNB-Chain-Netzwerke ausgezahlt.

Der Plan wird direkt aus dem Vermögen von The Sandbox finanziert. Dadurch werden keine neuen Tokens geprägt – somit wird die Verdünnung des fließenden Angebots verhindert und weitere Marktstörungen minimiert. Der Prozess der Entschädigung für Kunden soll innerhalb von zwei Wochen beginnen. Um die Betriebsabläufe zu vereinfachen, werden zwei zentrale Börsen übernehmen, die mehr als 72% der zulässigen SAND-Units halten. Diese Börsen werden die Entschädigungen für Kunden direkt auszahlen.

Der Vorfall zeigt die anhaltende Verwundbarkeit der Cross-Chain-Brücken im Bereich der dezentralen Finanzen auf. Während der Preis von SAND nach dem Angriff um 11,46% fiel, ist The Sandbox’ Strategie zur Entschädigung durchweg anders als die üblichen Praktiken in der Branche – dort haben Projekte oft Schwierigkeiten, eine angemessene Entschädigung zu bieten. Diese Strategie zielt darauf ab, das Vertrauen wiederherzustellen und die Langfristige Erfolgsfähigkeit des Projekts zu gewährleisten, indem die Schutz der Nutzer sowie klare Rehabilitationsmöglichkeiten berücksichtigt werden.

Wie passen traditionelle Finanzinstitutionen sich an strukturelle Veränderungen an?

Mutual Federal Bancorp, Inc., die Holdinggesellschaft der Mutual Federal Bank – einer von den Bundesbehörden anerkannten Sparbank mit Sitz in Chicago, Illinois – hat bekanntgegeben, dass sie einen Umwandlungs- und Reorganisationsplan umsetzen wird. Dieser Schritt stellt den zweiten Schritt in der Überführung der Gesellschaft von einer gemeinschaftlichen Organisation zu einer Aktiengesellschaft dar.

Der Umwandlungsprozess erfordert zahlreiche regulatorische und Aktienbesitzernachweise. Entscheidende Faktoren, die den Zeitplan oder den Erfolg der Transaktion beeinflussen könnten, sind die Unfähigkeit, die erforderlichen Genehmigungen von Aktionären, Mitgliedern von Mutual Federal Bancorp, MHC sowie den zuständigen Regulierungsbehörden zu erhalten. Verzögerungen bei der Erlangung dieser Genehmigungen oder die Anwendung ungünstiger Bedingungen während des regulatorischen Überprüfungsprozesses gelten als potenzielle Risiken.

Es wird die Investoren und Stakeholder dringend empfohlen, dass die neue Holdinggesellschaft eine Registrierungsbeschreibung im Formular S-1 bei der Securities and Exchange Commission (SEC) einreicht. Diese Einreichung umfasst außerdem eine Prokriebeschreibung sowie einen Prospekt, der detaillierte Informationen über den geplanten Transaktionen enthält. Die Aktionäre werden dringend aufgefordert, diese Dokumente sorgfältig zu prüfen, sobald sie verfügbar sind – schließlich enthalten sie wichtige Informationen bezüglich der Umwandlung, der damit verbundenen Risiken sowie der zukünftigen Struktur der Holdinggesellschaft.

Diese Dokumente sind kostenlos auf der Website der SEC oder direkt von der Firma nach schriftlicher Anfrage erhältlich.

Welche rechtlichen Risiken entstehen für öffentliche Unternehmen?

Das Anwaltskanzlei Pomerantz LLP hat eine Warnung für Investoren bezüglich der Firma DNOW Inc. herausgegeben. Dabei wird den Aktionären, die Verluste bei ihren Investitionen erlitten haben, daran erinnert, dass es eine gerichtliche Klage gegen die Firma gibt. Die Mitteilung dient dazu, den Investoren die bevorstehenden Fristen bezüglich der Einreichung von Anträgen oder des Ausschlusses aus der Klage zu mitteilen.

Diese rechtliche Maßnahme deutet darauf hin, dass es möglicherweise Anschuldigungen wegen Verstöße gegen die Wertpapiergesetze oder falscher Darstellungen seitens DNOW Inc. gibt – was zu finanziellen Schäden für die Investoren führen könnte. Die Warnung betont die Bedeutung einer zeitnahen Maßnahme für diejenigen, die Verluste erlitten haben. Denn das Nichteinhalten des Fristes könnte ihre Möglichkeit beeinträchtigen, durch dieses rechtliche Mittel Ansprüche geltend zu machen.

Investoren, die an dem Prozess teilnehmen möchten oder mehr über die spezifischen Anschuldigungen und möglichen Rechtsmittel erfahren wollen, werden dazu ermutigt, direkt bei Pomerantz LLP Kontakt aufzunehmen. Das Unternehmen stellt die Kontaktdaten für diejenigen bereit, die über ihre Eignung sowie den Stand des Verfahrens sprechen möchten. Diese Entwicklung erhöht das rechtliche Risiko für DNOW Inc., und könnte die Stimmung der Investoren sowie die Bewertung des Unternehmens beeinflussen, während der Fall voranschreitet.