Term Labs perde US$ 8,5 milhões em ataque de governança; invasor toma controle de "strategy vaults"

A Term Finance, protocolo de empréstimos a taxa fixa na rede Ethereum desenvolvido pela Term Labs, sofreu perdas de cerca de US$ 8,5 milhões após um atacante acumular discretamente poder de voto suficiente para assumir o controle de seus cofres de estratégia. Segundo confirmações das empresas de segurança CertiK e PeckShield, aproximadamente 2.843 ETH e cerca de 1,6 milhão de DAI foram drenados para uma única carteira. Como o ataque ocorreu O incidente, em 23 de agosto, foi classificado como manipulação de governança, não como falha de código. O invasor teria obtido 100% do controle de votação em quatro dos cinco "strategy vaults" de USDC e cerca de 91% de influência sobre o Ethereum Meta Vault. Com essa supermaioria, aprovou uma proposta para esvaziar os cofres e direcionar os recursos a um endereço iniciado por 0xD5183. Relatos apontam que o financiamento inicial veio de apenas 2 ETH, originados via Tornado Cash. A partir desse valor, o atacante conseguiu ampliar o poder de voto e capturar cofres que concentravam milhões em depósitos de usuários. A Term Labs reconheceu publicamente o problema de governança e afirmou que ainda é necessária uma investigação mais aprofundada. A equipe também buscou diferenciar o caso de uma vulnerabilidade em contratos inteligentes. Histórico recente de perdas Não é a primeira vez que o projeto enfrenta um evento de perda. Em maio de 2025, a Term Finance registrou cerca de US$ 1,5 milhão em prejuízo devido a um erro de "decimal" em um oráculo durante uma atualização de rotina. Na ocasião, o problema não foi malicioso e os recursos acabaram devolvidos. A empresa levantou US$ 2,5 milhões em rodada seed no início de 2023, sob a liderança do fundador e CEO Dion Chu. O posicionamento do protocolo é levar estruturas de taxa fixa inspiradas em TradFi para o crédito on-chain, com produtos sobrecolateralizados de perfil semelhante ao de renda fixa. O ponto cego recorrente da DeFi Diferentemente de ataques com flash loans ou bugs de reentrância, investidas via governança não exigem sofisticação técnica elevada. Elas exploram os mecanismos de decisão usados por protocolos descentralizados para gerir tesourarias e ajustar parâmetros. No caso da Term Finance, a arquitetura dos cofres aparenta não ter salvaguardas suficientes para impedir uma tomada hostil de poder de voto. O episódio atravessou contratos auditados sem que fosse necessário "quebrar" nenhuma linha de código. A fragilidade esteve no desenho do sistema, na combinação de tokenomics, baixa participação dos votantes e controles de acesso insuficientes nas funções de gestão dos cofres. Para os depositantes afetados, a recuperação dos valores permanece incerta. Ao contrário do erro de maio de 2025, que era interno e permitiu reversão, o caso atual envolve um agente externo que teria usado o Tornado Cash como origem do capital, ferramenta voltada a romper o vínculo on-chain entre remetente e destinatário.