Il protocollo di lending decentralizzato Term Labs è diventato l'ultima piattaforma DeFi a subire un exploit, con un attaccante che ha prelevato un totale di $8.5 million in ETH e DAI abusando delle regole di governance dei vault del protocollo.

Term Labs è il creatore di Term Finance, un protocollo di lending decentralizzato per prestiti ETH a tasso fisso. Il progetto mirava a offrire tassi di prestito più prevedibili e ha sottolineato un team quantitativo tradizionale che includeva ex esperti di Citibank e Morgan Stanley.

Il team ha confermato che l'exploit ha interessato alcuni dei suoi vault, aggiungendo che il vero impatto è ancora in fase di valutazione.

Siamo a conoscenza di un exploit di governance che sta interessando i vault di Term. Condivideremo ulteriori dettagli una volta completata un'ulteriore indagine.

— Term Labs (@term_labs), August 23, 2026

I dati iniziali mostrano che l'attaccante non ha usato un exploit maligno nel senso convenzionale. Al contrario, si è affidato esclusivamente alla propria influenza di governance, esattamente come previsto dal protocollo.

Al 23 August, Term Labs deteneva oltre $25 million in total value locked, secondo DefiLlama. Il protocollo aveva $3.92 million in prestiti attivi insieme a una quantità maggiore di collaterale nei suoi vault. In totale, i vault di Term Finance detenevano $12.25 million, mostrano i dati DefiLlama, il che significa che l'incidente ha quasi completamente svuotato le capacità di lending del protocollo.

L'attacco contro Term Labs arriva a pochi giorni di distanza da altri exploit di alto profilo, tra cui Maya Protocol e un recente attacco di mint contro The Sandbox.

Come l'attaccante ha sottratto fondi da Term Labs

I dati on-chain mostrano che i wallet dell'attaccante sono stati finanziati con 2 ETH provenienti da Tornado Cash, un servizio di mixing di Ethereum che è apparso ripetutamente nelle tracce di finanziamento di precedenti exploit crypto. Questo tipo di finanziamento iniziale è stato collegato a precedenti exploit condotti da hacker della DPRK.

L'attaccante ha controllato quattro dei cinque vault sottratti su Term Labs semplicemente detenendo il 100% del token di governance.

Term Labs offriva vault di lending simili a Morpho, dove chiunque poteva depositare fondi e ricevere reddito passivo. Tuttavia, Term Labs utilizzava anche Aragon come piattaforma di governance, uno dei framework open-source più longevi per costruire e gestire DAO, e gli utenti potevano facoltativamente trasformare il deposito del proprio vault in token di governance. Per ottenere i token di governance, gli utenti dovevano prendere manualmente i token di quota ricevuti dal vault e convertirli in uno speciale token di governance.

Compiendo questo secondo passaggio, l'attaccante ha ottenuto un vantaggio ingiusto nella governance ed è stato quindi in grado di usare tale influenza per svuotare i vault. Sebbene i token di governance detenuti valessero solo pochi dollari, l'attaccante ha esercitato un'influenza sproporzionata e ha trasferito tutte le riserve dai vault.

L'attaccante ha presentato una proposta il 17 August contenente azioni nascoste che non erano immediatamente visibili agli elettori. I periodi di attesa di questo tipo funzionano come timelock, una misura di sicurezza comune delle DAO pensata per dare ai partecipanti il tempo di esaminare e opporre veto alle modifiche in sospeso prima dell'esecuzione. Dopo la scadenza del periodo di attesa di sei giorni, l'attaccante ha modificato i parametri del vault in modo da consentire il drenaggio dei fondi da cinque vault di lending USDC.

Dopo aver spostato i fondi, l'exploiter li ha parcheggiati in un singolo wallet noto, che detiene $1.6 million in DAI e circa $6.9 million in ETH. I fondi non sono ancora stati mescolati o spostati, a differenza di altri exploit in cui il mixing è seguito entro la prima ora. Poiché l'indirizzo è pubblicamente visibile, il wallet può essere monitorato on-chain e le società di blockchain analytics e gli exchange segnalano regolarmente gli indirizzi collegati a fondi rubati se si verificano movimenti o tentativi di deposito.

Perché gli attacchi di governance hanno successo

Molti protocolli Web3 hanno sviluppato una qualche forma di meccanismo di governance, in genere legato alla detenzione di token specifici. La presenza di whale, allocazioni del team o acquirenti aggressivi significa che riserve, tesorerie DAO o altri vault possono essere attaccati e svuotati.

Il precedente più noto resta Beanstalk Farms, che ha perso circa $182 million nell'April 2022 dopo che un attaccante ha usato un flash loan, un prestito senza collaterale eseguito in una singola transazione, per acquisire temporaneamente il potere di voto di maggioranza e far approvare una proposta favorevole ai propri interessi. A differenza del periodo di attesa di sei giorni di Term, il meccanismo di emergency proposal di Beanstalk ha eseguito immediatamente le modifiche dell'attaccante.

Le DAO e le organizzazioni Web3 hanno tassi di proposte variabili, e non tutte le proposte sono comprese dagli utenti comuni. Ciò significa che un soggetto interessato può proporre un esito a proprio favore e ottenere con successo il voto necessario.