Un exploit de guvernanță la Term Labs golește 8,5 milioane de dolari
Term Labs a suferit un atac asupra guvernanței în valoare de 8,5 milioane de dolari la 23 august 2026, expunând un risc major de securitate în DeFi. Atacatorul a folosit aproximativ 0,5 ETH pentru a împacheta participațiile din vaulturi și a controla aproximativ 90,7% din puterea de vot activă în ETH Meta Vault. Un al doilea portofel deținea întreaga putere de vot activă pentru propunerile care vizau cinci vaulturi USDC.
Atacul asupra guvernanței Term Labs nu s-a bazat pe o eroare a contractului inteligent de bază sau pe o cheie privată furată. În schimb, atacatorul a exploatat participarea redusă la vot și lichiditatea scăzută a tokenului de guvernanță. O propunere malițioasă, deghizată într-un veto de rutină asupra parametrilor vaultului, conținea 17 acțiuni. Aceasta a resetat perioada de așteptare de aproximativ șapte zile a modulului Zodiac Delay, a transferat controlul executării către o adresă controlată de atacator și a redirecționat activele vaulturilor către o strategie de ieșire malițioasă.
După încheierea perioadei de vot, atacatorul a retras 2.841,74 WETH din vaultul ETH și aproximativ 1,68 milioane USDC din cinci vaulturi USDC. USDC a fost schimbat în DAI, iar unele active au fost ulterior convertite în ETH și trimise prin Tornado Cash. Companiile de securitate PeckShield și CertiK au confirmat incidentul și au asociat activitatea cu adresa 0xD518…C13.
Term Labs a închis definitiv depozitele în Meta Vault, a revocat rolurile de guvernanță ale DAO și a menținut retragerile deschise pentru utilizatorii existenți. Incidentul a fost al cincilea atac asupra guvernanței raportat în 2026, ridicând pierderile asociate guvernanței la aproximativ 25,1 milioane de dolari. Traderii ar trebui să monitorizeze presiunea de vânzare asupra ETH, portofelele afectate, condițiile de lichiditate și mecanismele de protecție a guvernanței în protocoale DeFi similare. Cazul ar putea afecta negativ sentimentul față de DeFi axată pe guvernanță, cu excepția cazului în care protocoalele adoptă reguli mai stricte privind cvorumul, controale multisig, vot bazat pe convingere și blocări temporale executorii.
Bearish
Impactul imediat este unul negativ pentru ETH și WETH, deoarece atacatorul a retras peste 2.841 WETH și a convertit o parte din activele furate în ETH, creând o posibilă presiune de vânzare. Transferul fondurilor prin Tornado Cash sporește, de asemenea, incertitudinea și îi poate determina pe traderi să își reducă expunerea la ecosistemele DeFi afectate.
USDC este conceput pentru a-și menține paritatea cu dolarul, astfel încât este puțin probabil ca incidentul să creeze o mișcare direcțională de durată a prețului, dacă răscumpărările și lichiditatea rămân normale. DAI s-ar putea confrunta pe termen scurt cu probleme de lichiditate sau de încredere, deoarece USDC-ul furat a fost schimbat în DAI, deși impactul general asupra prețului ar trebui să fie limitat dacă piața absoarbe tranzacțiile.
Pe termen scurt, traderii ar putea evita activele asociate cu Term Labs și tokenurile de guvernanță, ar putea majora primele de risc și ar monitoriza portofelele atacatorului pentru vânzări suplimentare. Pe termen lung, atacurile repetate asupra guvernanței ar putea pune presiune asupra evaluărilor DeFi și a cererii pentru tokenurile de guvernanță, demonstrând că participarea redusă, lichiditatea scăzută și întârzierile slabe de execuție pot expune trezorerii mari. Praguri de cvorum mai ridicate, mecanisme multisig, blocări temporale obligatorii și controale de urgență independente ar putea restabili în cele din urmă încrederea, însă semnalul imediat al pieței rămâne negativ.