Term Labs sta indagando su un exploit di governance che, secondo le stime delle società di sicurezza, ha sottratto circa 8,5 milioni di dollari dai vault di Term Finance il 23 agosto. L'incidente ha spostato l'attenzione dal codice degli smart contract verso i controlli di governance che proteggono i vault del protocollo e gli asset in essi custoditi.

Le società di sicurezza tracciano i fondi dell'attaccante

CertiK ha identificato un indirizzo controllato dall'attaccante che deteneva circa 2.843 ETH e circa 1,6 milioni di dollari in DAI dopo l'exploit. PeckShield ha stimato che l'attaccante abbia prelevato 2.843 ETH — del valore di circa 6,87 milioni di dollari — insieme a 1,68 milioni di USDC dal sistema colpito.

Gli USDC sottratti sono stati successivamente scambiati con circa 1,68 milioni di DAI, mentre l'attacco è stato inizialmente finanziato con 2 ETH provenienti da Tornado Cash, un servizio di mixing progettato per oscurare la traccia on-chain dei fondi.

Term Labs Suffers $8.5M Governance Exploit Affecting Vaults

DeFi lending protocol @term_labs suffered a governance exploit affecting its vaults. According to PeckShieldAlert and CertiK Alert, the attack resulted in losses of about $8.5 million, with the exploiter holding… pic.twitter.com/yhAHbCN95d

— Wu Blockchain (@WuBlockchain), August 23, 2026 (X)

Term Labs ha confermato che un exploit di governance ha colpito i suoi vault, ma il protocollo non aveva ancora pubblicato un'analisi post-incidente completa entro il 23 agosto. Di conseguenza, la sequenza dell'attacco, i vault specifici colpiti e il metodo utilizzato per aggirare le protezioni di governance rimanevano tutti da confermare.

I controlli di governance sotto esame

L'incidente si differenzia da un guasto convenzionale degli smart contract perché i primi report di sicurezza identificano nella governance — e non in un difetto del codice — l'apparente via di accesso agli asset dei vault. Questa distinzione pone la struttura di controllo di Term Finance sotto esame, mentre gli investigatori lavorano per determinare in che modo l'attaccante abbia raggiunto i fondi protetti. Le perdite riconducibili a chiavi compromesse o a privilegi di governance, anziché a difetti del codice on-chain, costituiscono una categoria ricorrente negli incidenti di sicurezza DeFi; la violazione di Radiant Capital dell'ottobre 2024, in cui gli attaccanti hanno sottratto circa 53 milioni di dollari dopo aver compromesso le chiavi di firma del multisig, è un esempio ampiamente riportato.

La documentazione di Term assegna ruoli distinti di manager e governor, con le azioni di governance che passano attraverso una Gnosis Safe — un wallet multisig ampiamente utilizzato nel DeFi — e un Zodiac Delay Module. Tali azioni sono inoltre soggette a un timelock di sette giorni prima dell'esecuzione, creando una finestra di revisione per le modifiche proposte. I fornitori di liquidità dei vault sono descritti come partecipanti della DAO con l'autorità di porre veto alle proposte durante tale intervallo; secondo la documentazione, un veto riuscito può invalidare una transazione in coda prima della sua esecuzione, aggiungendo un ulteriore livello di protezione.

Term Labs non aveva tuttavia confermato se la violazione sia stata causata dall'influenza sul voto, da un problema di permessi, da un errore di configurazione o da un'altra via di governance. In assenza di un'analisi post-incidente, le prove disponibili non consentono di stabilire quale salvaguardia abbia ceduto o se i controlli documentati abbiano funzionato come previsto.

Design dei vault, TVL e questioni sul recupero ancora aperte

Term Finance offre prestiti non custodial, a tasso fisso e ipercollateralizzati, modellati sui tradizionali accordi di riporto (repurchase agreement), abbinando mutuatari e prestatori attraverso aste a offerte sigillate. I prestatori ricevono repo token che rappresentano diritti sul capitale e sugli interessi alla scadenza, mentre gli Strategy Vault automatizzano la partecipazione e la gestione della liquidità.

I vault sono costruiti sull'implementazione ERC-4626 di Yearn V3, lo standard di Ethereum per i vault tokenizzati a singolo asset, insieme a una logica personalizzata che copre aste, limiti di portafoglio, riserve e controlli di scadenza. Sulla base delle prove disponibili ad oggi, non è stata accertata alcuna vulnerabilità in Yearn V3 o in Ethereum stesso; l'esame resta concentrato sul livello di permessi e di governance che circonda l'implementazione dei vault di Term.

Prima dell'exploit, DeFiLlama, un tracker pubblico dei depositi nei protocolli DeFi, indicava i TermFinance Vaults con circa 10,87 milioni di dollari di valore totale bloccato (TVL), di cui circa 7,23 milioni su Ethereum. Tale cifra esclude il capitale impiegato nei repo token di Term per evitare il doppio conteggio, il che rende inaffidabile un confronto diretto con la stima della perdita di 8,5 milioni di dollari.

Al momento della scrittura, Term Labs non aveva annunciato un piano di recupero o un quadro di rimborso, né aveva confermato le perdite totali degli utenti. Il protocollo non aveva inoltre comunicato se depositi, prelievi, funzioni di governance o vault specifici fossero stati sospesi in seguito all'incidente.

Il wallet controllato dall'attaccante resta al centro delle attività di tracciamento, sebbene il solo finanziamento tramite Tornado Cash non permetta di identificare l'attaccante. Per i depositanti, le prossime comunicazioni dovranno chiarire le transazioni di governance dannose, i contratti colpiti, i tempi delle proposte e l'attività del timelock. Questi dettagli determineranno se l'incidente abbia comportato una cattura della governance, permessi difettosi o un altro fallimento implementativo nei controlli dei vault di Term Finance.