Term Finance perde 8,5 milhões de dólares em exploração de governança

O protocolo de empréstimos descentralizado Term Finance perdeu aproximadamente 8,5 milhões de dólares depois de um atacante ter explorado o controlo de governança dos seus cofres estratégicos. É a Cointelegraph quem revela que, segundo empresas de segurança blockchain, o incidente ocorreu no domingo e resultou na drenagem de fundos significativos.

De acordo com a PeckShield, o atacante retirou cerca de 2.843 Ether, avaliados em 6,87 milhões de dólares na altura, bem como 1,68 milhões de USDC que foram posteriormente trocados por aproximadamente 1,68 milhões de Dai. A CertiK apresentou estimativas semelhantes, fixando a perda total em cerca de 8,5 milhões de dólares.

O montante roubado representava aproximadamente 68 por cento dos 12,45 milhões de dólares detidos no produto de cofres da Term antes do ataque, incluindo quase a totalidade dos seus 8,8 milhões de dólares em depósitos de Ethereum, segundo dados da Defillama. A Term Labs reagiu encerrando de forma irreversível todos os Term Meta Vaults e revogando os seus papéis de governança DAO, impedindo permanentemente novos depósitos mas mantendo os levantamentos disponíveis.

Com base na investigação realizada até ao momento, a empresa afirmou que o protocolo Term subjacente e os seus mercados diretos de empréstimos não foram afetados, embora ainda estivesse a verificar o alcance total do incidente. O serviço de monitorização onchain Defimon indicou que o atacante adquiriu de forma barata uma maioria de um token de governança pouco detido e aprovou propostas que lhe permitiram tomar controlo dos cofres da Term. A plataforma ainda não confirmou como o atacante obteve controlo de voto nem quais funções de governança foram utilizadas.

Os contratos dos cofres utilizam infraestrutura Yearn V3, mas a própria Yearn esclareceu que o ataque envolveu um wrapper de governança personalizado e que o vetor de ataque não se aplica às configurações padrão dos cofres Yearn. A Term Finance afirmou estar a coordenar com equipas de segurança externas para recuperação de ativos e remediação, declarando que iria explorar caminhos para resolver qualquer défice remanescente.

Este incidente surge após um erro de oracle em abril de 2025 que desencadeou cerca de 918 ETH em liquidações não intencionais. Na altura, a Term recuperou aproximadamente 556 ETH, reduziu a perda final para 362 ETH e reembolsou os utilizadores afetados. Após esse episódio, a plataforma comprometeu-se com validação de terceiros para atualizações críticas e maior transparência na governança.