Un exploit di governance di Term Labs prosciuga 8,5 milioni di dollari
Term Labs ha subito un exploit di governance da 8,5 milioni di dollari il 23 agosto 2026, mettendo in evidenza un grave rischio per la sicurezza della DeFi. L’attaccante ha utilizzato circa 0,5 ETH per tokenizzare le quote dei vault e controllare circa il 90,7% del potere di voto attivo nell’ETH Meta Vault. Un secondo wallet deteneva tutto il potere di voto attivo per le proposte riguardanti cinque vault USDC.
L’exploit di governance di Term Labs non ha sfruttato un bug nel contratto smart principale né una chiave privata rubata. L’attaccante ha invece approfittato della scarsa partecipazione al voto e della bassa liquidità del token di governance. Una proposta malevola, camuffata da un veto ordinario sui parametri del vault, conteneva 17 azioni. Ha reimpostato il periodo di attesa di circa sette giorni del modulo Zodiac Delay, trasferito il controllo dell’esecuzione a un indirizzo controllato dall’attaccante e reindirizzato gli asset dei vault verso una strategia di uscita malevola.
Al termine del periodo di voto, l’attaccante ha drenato 2.841,74 WETH dal vault ETH e rimosso circa 1,68 milioni di USDC da cinque vault USDC. Gli USDC sono stati scambiati con DAI, mentre alcuni asset sono stati successivamente convertiti in ETH e inviati attraverso Tornado Cash. Le società di sicurezza PeckShield e CertiK hanno confermato l’incidente e collegato l’attività all’indirizzo 0xD518…C13.
Term Labs ha chiuso definitivamente i depositi nel Meta Vault, revocato i ruoli di governance della DAO e mantenuto aperti i prelievi per gli utenti esistenti. L’incidente è stato il quinto attacco di governance segnalato nel 2026, portando le perdite legate alla governance a circa 25,1 milioni di dollari. I trader dovrebbero monitorare la pressione di vendita su ETH, i wallet interessati, le condizioni di liquidità e le misure di sicurezza della governance in protocolli DeFi simili. Il caso potrebbe pesare sul sentiment verso la DeFi incentrata sulla governance, a meno che i protocolli non adottino quorum più rigorosi, controlli multisig, voto per convinzione e timelock applicabili.
Bearish
L’impatto immediato è ribassista per ETH e WETH, perché l’attaccante ha drenato più di 2.841 WETH e ha convertito parte degli asset rubati in ETH, creando una potenziale pressione di vendita. Il trasferimento dei fondi attraverso Tornado Cash aumenta inoltre l’incertezza e potrebbe spingere i trader a ridurre l’esposizione agli ecosistemi DeFi coinvolti.
USDC è progettato per mantenere l’ancoraggio al dollaro, quindi è improbabile che l’incidente provochi un movimento direzionale duraturo del prezzo se i rimborsi e la liquidità rimangono normali. DAI potrebbe affrontare problemi di liquidità o fiducia nel breve periodo, poiché l’USDC rubato è stato convertito in DAI, anche se l’impatto complessivo sul prezzo dovrebbe essere limitato se il mercato assorbe le transazioni.
Nel breve periodo, i trader potrebbero evitare gli asset collegati a Term Labs e i token di governance, ampliare i premi per il rischio e monitorare i wallet dell’attaccante per eventuali ulteriori vendite. Nel lungo periodo, attacchi ripetuti alla governance potrebbero mettere sotto pressione le valutazioni della DeFi e la domanda di token di governance, dimostrando che una bassa partecipazione, una liquidità ridotta e ritardi deboli nell’esecuzione possono esporre tesorerie consistenti. Soglie di quorum più elevate, sistemi multisig, timelock obbligatori e controlli di emergenza indipendenti potrebbero infine ripristinare la fiducia, ma il segnale immediato del mercato rimane ribassista.