Term Labs enquête sur une exploitation de la gouvernance dont les sociétés de sécurité estiment qu'elle a permis de drainer environ 8,5 millions de dollars des coffres de Term Finance le 23 août. L'incident a détourné l'attention du code des contrats intelligents vers les contrôles de gouvernance qui protègent les coffres du protocole et les actifs qu'ils détiennent.

Les sociétés de sécurité retracent les fonds de l'attaquant

CertiK a identifié une adresse contrôlée par l'attaquant détenant environ 2 843 ETH et environ 1,6 million de dollars en DAI après l'attaque. PeckShield a estimé que l'attaquant a retiré 2 843 ETH — d'une valeur d'environ 6,87 millions de dollars — ainsi que 1,68 million de USDC du système affecté.

Les USDC volés ont ensuite été échangés contre environ 1,68 million de DAI, tandis que l'attaque avait été initialement financée par 2 ETH provenant de Tornado Cash, un service de mixage conçu pour brouiller la trace on-chain des fonds.

Term Labs Suffers $8.5M Governance Exploit Affecting Vaults

DeFi lending protocol @term_labs suffered a governance exploit affecting its vaults. According to PeckShieldAlert and CertiK Alert, the attack resulted in losses of about $8.5 million, with the exploiter holding… pic.twitter.com/yhAHbCN95d

— Wu Blockchain (@WuBlockchain), August 23, 2026 (X)

Term Labs a confirmé qu'une exploitation de la gouvernance avait affecté ses coffres, mais le protocole n'avait pas publié d'analyse post-mortem complète au 23 août. Par conséquent, la séquence de l'attaque, les coffres spécifiquement touchés et la méthode utilisée pour contourner les protections de gouvernance restaient tous non confirmés.

Les contrôles de gouvernance sous examen

L'incident diffère d'une défaillance classique de contrat intelligent car les premiers rapports de sécurité identifient la gouvernance — et non une faille de code — comme la voie apparente vers les actifs des coffres. Cette distinction place la structure de contrôle de Term Finance sous examen alors que les enquêteurs s'efforcent de déterminer comment l'attaquant est parvenu aux fonds protégés. Les pertes attribuées à des clés compromises ou à des privilèges de gouvernance, plutôt qu'à des failles du code on-chain, constituent une catégorie récurrente des incidents de sécurité DeFi ; la violation de Radiant Capital d'octobre 2024, au cours de laquelle des attaquants ont dérobé environ 53 millions de dollars après avoir compromis des clés de signature multisignature, en est un exemple largement rapporté.

La documentation de Term attribue des rôles distincts de manager et de gouverneur, les actions de gouvernance passant par un Gnosis Safe — un portefeuille multisignature largement utilisé dans la DeFi — et un module de retard Zodiac. Ces actions sont en outre soumises à un timelock de sept jours avant exécution, créant une fenêtre d'examen pour les modifications proposées. Les fournisseurs de liquidité des coffres y sont décrits comme des participants de la DAO ayant le pouvoir d'opposer leur veto aux propositions pendant ce délai ; selon la documentation, un veto abouti peut invalider une transaction en file d'attente avant son exécution, ajoutant une couche de protection supplémentaire.

Term Labs n'avait toutefois pas confirmé si une influence sur les votes, un problème de permissions, une erreur de configuration ou une autre voie de gouvernance avait causé la violation. En l'absence d'analyse post-mortem, les éléments disponibles ne permettent pas d'établir quelle protection a failli ni si les contrôles documentés ont fonctionné comme prévu.

Conception des coffres, TVL et questions de récupération toujours en suspens

Term Finance propose un prêt non dépositaire, à taux fixe et surcollatéralisé, inspiré des conventions de rachat traditionnelles, et met en relation emprunteurs et prêteurs par le biais d'enchères à plis scellés. Les prêteurs reçoivent des jetons repo représentant des droits sur le principal et les intérêts à l'échéance, tandis que les Strategy Vaults automatisent la participation et la gestion de la liquidité.

Les coffres reposent sur l'implémentation ERC-4626 de Yearn V3 — la norme Ethereum pour les coffres tokenisés à actif unique — ainsi que sur une logique personnalisée couvrant les enchères, les limites de portefeuille, les réserves et les contrôles d'échéance. Au vu des éléments disponibles à ce jour, aucune vulnérabilité n'a été établie dans Yearn V3 ni dans Ethereum lui-même ; l'examen reste concentré sur la couche de permissions et de gouvernance entourant l'implémentation des coffres de Term.

Avant l'attaque, DeFiLlama, un suivi public des dépôts dans les protocoles DeFi, recensait les TermFinance Vaults avec environ 10,87 millions de dollars de valeur totale verrouillée (TVL), dont environ 7,23 millions de dollars sur Ethereum. Ce chiffre exclut le capital déployé dans les jetons repo de Term afin d'éviter tout double comptage, ce qui rend peu fiable une comparaison directe avec l'estimation de perte de 8,5 millions de dollars.

Au moment de la rédaction, Term Labs n'avait annoncé ni plan de récupération ni cadre d'indemnisation, et n'avait pas non plus confirmé le total des pertes des utilisateurs. Le protocole n'avait pas davantage précisé si les dépôts, les retraits, les fonctions de gouvernance ou des coffres spécifiques avaient été suspendus à la suite de l'incident.

Le portefeuille contrôlé par l'attaquant demeure au centre des efforts de traçage, même si le financement via Tornado Cash ne permet pas à lui seul d'identifier l'attaquant. Pour les déposants, les prochaines divulgations devront clarifier les transactions de gouvernance malveillantes, les contrats touchés, le calendrier des propositions et l'activité du timelock. Ces détails détermineront si l'incident relève d'une captation de la gouvernance, de permissions défectueuses ou d'une autre défaillance d'implémentation au sein des contrôles des coffres de Term Finance.