Attacco alla governance di Term Finance: sottratti 8,5 milioni di dollari dai vault su Ethereum

Term Finance, protocollo di lending basato su Ethereum, ha subito un exploit che avrebbe causato perdite per circa 8,5 milioni di dollari. Gli attaccanti avrebbero sfruttato controlli di governance personalizzati, prelevando asset dai vault in ETH, USDC e DAI. Term Labs ha comunicato su X che l'incidente ha interessato i vault di Term e che è in corso un'indagine interna. Il team non ha però confermato l'ammontare definitivo delle perdite né indicato quali Strategy Vaults siano stati oggetto di prelievi non autorizzati. Secondo le stime di PeckShield, l'attore malevolo avrebbe sottratto 2.843 ETH (circa 6,9 milioni di dollari) e 1,68 milioni di USDC. PeckShield riporta inoltre che gli USDC sarebbero stati convertiti in circa 1,68 milioni di DAI. CertiK, dopo una propria analisi delle transazioni on-chain, valuta la perdita complessiva vicino a 8,5 milioni di dollari. PeckShield collega parte dei fondi all'indirizzo "e vlojiz", che avrebbe inizialmente ricevuto 2 ETH provenienti da Tornado Cash. Nel mirino la governance personalizzata, non l'infrastruttura Yearn I Strategy Vaults di Term seguono lo standard ERC4626 e si appoggiano a un'infrastruttura costruita sull'architettura Yearn V3. L'attacco avrebbe però preso di mira il wrapper di governance personalizzato che circonda i vault di Term, senza sfruttare i componenti standard di Yearn. Yearn ha dichiarato su X che questa modalità non è in grado di colpire i vault che operano con le impostazioni standard della piattaforma. Term struttura la gestione separando l'autorità operativa dalla supervisione dei depositanti attraverso ruoli distinti: un manager gestisce le aste, un governor controlla parametri di rischio, funzioni d'emergenza e impostazioni di protocollo. I fornitori di liquidità, in qualità di membri DAO, possono inoltre bloccare transazioni di governance durante un timelock di sette giorni. Term non ha chiarito quale ruolo sia stato compromesso né come siano state aggirate queste protezioni. Dati DefiLlama indicavano, prima dell'exploit, circa 12,45 milioni di dollari nei prodotti vault del protocollo sulle reti supportate, di cui circa 8,8 milioni di dollari su Ethereum. La perdita segnalata equivale quindi a quasi il 68% del valore totale bloccato del prodotto vault su tutte le reti. Pressione aggiuntiva dopo la perdita da oracle di aprile 2025 L'incidente arriva dopo un'altra perdita da 1,6 milioni di dollari registrata nell'aprile 2025, quando un oracle configurato in modo errato avrebbe innescato liquidazioni difettose. In quel caso il protocollo ha recuperato oltre 1 milione di dollari e ha dichiarato che avrebbe utilizzato risorse di tesoreria per coprire la parte restante. Gli attacchi alla governance restano un rischio strutturale per la DeFi, perché consentono di manipolare meccanismi di voto o ottenere privilegi amministrativi. L'indagine di Term dovrà chiarire come l'attaccante abbia ottenuto accesso alla governance e superato i presidi pensati per tutelare i depositanti.