Term Labs menjadi korban eksploitasi senilai sekitar $8,5 juta setelah seorang peretas menemukan celah lewat kerentanan governance yang memengaruhi vault-vault protokol tersebut, menguras sekitar 2.843 ETH senilai $6,87 juta beserta 1,68 juta USDC.
Firma keamanan blockchain PeckShield mengidentifikasi serangan ini dan melacak sumber pendanaan awal wallet eksploitasi tersebut kembali ke Tornado Cash, mixer kripto yang terkena sanksi dan kerap dipakai peretas untuk mengaburkan asal dana sebelum menjalankan aksinya. Term Labs sudah mengonfirmasi insiden ini, meski hingga tulisan ini dibuat protokol tersebut belum merinci linimasa pemulihan maupun rencana kompensasi bagi para depositor yang terdampak.
Governance, Bukan Kode, Jadi Titik Lemah yang Berulang
Insiden Term Labs ini mengikuti pola yang mewarnai sebagian besar aktivitas eksploitasi DeFi sepanjang 2026: serangan yang menembus lewat kelemahan pada struktur governance protokol, bukan lewat bug smart contract yang lugas. Dua eksploitasi terbesar tahun ini mengikuti logika serupa. Penggarongan sekitar $285 juta di Drift Protocol milik Solana pada April lalu ternyata bukan berasal dari cacat kode, melainkan dari peretas yang menyamar sebagai firma trading kuantitatif, membangun hubungan langsung dengan para kontributor, dan akhirnya berhasil memperoleh otorisasi yang sudah ditandatangani sebelumnya dari dewan keamanan protokol. Beberapa hari kemudian, Kelp DAO kehilangan sekitar $292 juta setelah peretas membobol node RPC yang memasok data ke verifier cross-chain-nya, mengelabui sistem tersebut agar mengonfirmasi pesan-pesan palsu.
Baca juga: The Sandbox Setop Bridging SAND di Base dan BNB Chain Usai Eksploitasi
Kerugian Lebih Kecil, tapi Pola Kegagalan yang Sama
Dengan nilai $8,5 juta, eksploitasi Term Labs memang jauh lebih kecil dibanding kedua insiden tersebut, tapi tetap memperkuat pelajaran yang sama: seiring protokol DeFi memperkuat kode smart contract mereka dari eksploitasi langsung, peretas justru semakin mudah menyerang lapisan governance dan perizinan yang mengelilingi kode tersebut. Eksploitasi vault lain sepanjang 2026, termasuk serangan Juli yang memanipulasi harga share untuk mengeruk sekitar $6 juta dari sejumlah vault USDC di jaringan utama Ethereum, mengikuti tema serupa: mengeksploitasi logika protokol dan izin akses, bukan membobol kriptografi secara langsung.
Apa yang Menanti para Depositor
Dengan jejak forensik dari PeckShield yang sudah dipublikasikan dan pendanaan wallet eksploitasi lewat Tornado Cash yang sudah tercatat, opsi Term Labs untuk investigasi on-chain maupun negosiasi pemulihan dana mengikuti pola yang sudah lazim dari eksploitasi governance lain tahun ini — meski hasil pemulihan pada insiden-insiden tersebut sangat beragam, mulai dari dana talangan sebagian dari treasury hingga depositor yang harus menanggung sendiri kerugiannya.
