Term Labs, protocole de prêt décentralisé, est devenu la dernière plateforme DeFi à subir une exploitation malveillante : un attaquant a retiré un total de 8,5 millions de dollars en ETH et DAI en abusant des règles de gouvernance des coffres du protocole.

Term Labs est le créateur de Term Finance, un protocole de prêt décentralisé dédié aux prêts ETH à taux fixe. Le projet visait à offrir des taux de prêt plus prévisibles et mettait en avant une équipe quant traditionnelle comprenant d'anciens experts de Citibank et Morgan Stanley.

L'équipe a confirmé que l'exploitation a touché certains de ses coffres, ajoutant que l'impact réel est encore en cours d'évaluation.

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026

Les premières données montrent que l'attaquant n'a pas utilisé d'exploitation malveillante au sens conventionnel. Il s'est appuyé uniquement sur son influence de gouvernance, exactement comme le protocole le prévoyait.

Au 23 août, Term Labs détenait plus de 25 millions de dollars de valeur totale bloquée, selon DefiLlama. Le protocole comportait 3,92 millions de dollars de prêts actifs ainsi qu'un montant supérieur de garanties dans ses coffres. Au total, les coffres de Term Finance détenaient 12,25 millions de dollars, d'après les données de DefiLlama, ce qui signifie que l'incident a presque entièrement drainé les capacités de prêt du protocole.

L'attaque contre Term Labs survient quelques jours seulement après d'autres exploitations très médiatisées, notamment celle de Maya Protocol et une récente attaque de frappe contre The Sandbox.

Comment l'attaquant a drainé les fonds de Term Labs

Les données on-chain montrent que les portefeuilles de l'attaquant ont été alimentés avec 2 ETH provenant de Tornado Cash, un service de mixage Ethereum apparu à plusieurs reprises dans les traces de financement d'anciennes exploitations crypto. Ce type de financement initial a déjà été associé à des exploitations antérieures menées par des pirates informatiques de la RPDC.

L'attaquant contrôlait quatre des cinq coffres drainés sur Term Labs simplement en détenant 100 % du jeton de gouvernance.

Term Labs proposait des coffres de prêt similaires à Morpho, où n'importe qui pouvait déposer des fonds et percevoir un revenu passif. Cependant, Term Labs utilisait également Aragon comme plateforme de gouvernance, l'un des frameworks open source les plus anciens pour construire et exploiter des DAO, et les utilisateurs pouvaient, de manière optionnelle, envelopper leurs dépôts de coffre en jetons de gouvernance. Pour obtenir des jetons de gouvernance, les utilisateurs devaient manuellement prendre les jetons de part reçus du coffre et les convertir en un jeton de gouvernance spécial.

En effectuant cette deuxième étape, l'attaquant a obtenu un avantage de gouvernance déloyal et a pu utiliser cette influence pour drainer les coffres. Bien que les jetons de gouvernance détenus ne valent que quelques dollars, l'attaquant exerçait une influence démesurée et a déplacé l'ensemble des réserves des coffres.

L'attaquant a soumis une proposition le 17 août contenant des actions cachées qui n'étaient pas immédiatement visibles pour les votants. Ce type de délai d'attente fonctionne comme un verrou temporel (timelock), une mesure de protection courante des DAO destinée à donner aux participants le temps d'examiner et de rejeter les changements en attente avant leur exécution. Après l'expiration du délai d'attente de six jours, l'attaquant a modifié les paramètres des coffres d'une manière permettant de drainer les fonds de cinq coffres de prêt en USDC.

Après avoir déplacé les fonds, l'exploitant les a parqués dans un portefeuille connu unique, contenant 1,6 million de dollars en DAI et environ 6,9 millions de dollars en ETH. Les fonds n'ont pas encore été mixés ni déplacés, contrairement à d'autres exploitations où le mixage suivait l'attaque dans la première heure. Comme l'adresse est publiquement visible, le portefeuille peut être surveillé on-chain, et les entreprises d'analyse blockchain ainsi que les plateformes d'échange signalent systématiquement les adresses liées à des fonds volés en cas de mouvement ou de tentative de dépôt.

Pourquoi les attaques de gouvernance réussissent

De nombreux protocoles Web3 ont mis en place un certain type de mécanisme de gouvernance, généralement lié à la détention de jetons spécifiques. La présence de baleines, d'allocations d'équipe ou d'acheteurs agressifs signifie que les réserves, les trésoreries de DAO ou d'autres coffres peuvent être attaqués et drainés.

Le précédent le plus connu reste Beanstalk Farms, qui a perdu environ 182 millions de dollars en avril 2022 après qu'un attaquant a utilisé un flash loan — un emprunt sans garantie exécuté au sein d'une seule transaction — pour acquérir brièvement le pouvoir de vote majoritaire et faire adopter une proposition servant ses propres intérêts. Contrairement au délai d'attente de six jours de Term, le mécanisme de proposition d'urgence de Beanstalk a exécuté immédiatement les changements de l'attaquant.

Les DAO et les organisations Web3 présentent des taux de propositions variables, et toutes les propositions ne sont pas comprises par les utilisateurs ordinaires. Cela signifie qu'une partie intéressée peut proposer une issue en sa faveur et la faire voter avec succès.