Term Finance perde circa 8,5 milioni di dollari in un exploit della governance dei vault

Il protocollo di prestito decentralizzato Term Finance ha perso una cifra stimata di 8,5 milioni di dollari dopo che un attaccante ha sfruttato il controllo della governance dei suoi vault strategici, secondo società di sicurezza blockchain. 

Domenica, PeckShield ha dichiarato che l'attaccante ha sottratto circa 2.843 Ether (ETH), valutati 6,87 milioni di dollari all'epoca, e 1,68 milioni di USDC, che sono stati convertiti in circa 1,68 milioni di Dai (DAI). CertiK ha fornito una stimasimile, collocando la perdita totale a circa 8,5 milioni di dollari. 

La perdita riportata rappresentava circa il 68% dei 12,45 milioni di dollari detenuti nel prodotto vault di Term prima dell'attacco, inclusi quasi tutti i suoi depositi in Ethereum, pari a circa 8,8 milioni di dollari, secondo i dati di DefiLlama. 

Term Labs ha dichiarato di aver chiuso irreversibilmente tutti i Term Meta Vault e revocato i loro ruoli di governance DAO, impedendo ulteriori depositi, pur mantenendo aperti i prelievi. Finora la sua indagine ha rilevato che il protocollo Term sottostante e i suoi mercati diretti di prestito e finanziamento non sono stati colpiti, sebbene stesse ancora verificando la portata dell'incidente. 

Cointelegraph non è riuscita a contattare Term Labs per un commento.

L'attaccante avrebbe ottenuto il controllo attraverso la governance

Il servizio di monitoraggio on-chain Defimon ha dichiarato che l'attaccante ha acquisito a basso costo la maggioranza di un token di governance detenuto da pochi utenti e ha approvato proposte che gli hanno permesso di assumere il controllo dei vault di Term. Term non ha confermato come l'attaccante abbia ottenuto il controllo dei voti né quali funzioni di governance siano state utilizzate. 

I contratti dei vault utilizzano l'infrastruttura Yearn V3. Tuttavia, Yearn ha dichiarato che l'attacco ha coinvolto un wrapper di governance personalizzato e che il vettore d'attacco non si applica alle configurazioni standard dei vault Yearn. 

Correlato: Zilliqa chiede agli exchange di sospendere i trasferimenti di ZIL dopo un sospetto furto da un cold wallet

Term ha dichiarato di coordinarsi con team di sicurezza esterni per il recupero degli asset e le azioni correttive. Ha affermato che avrebbe “esplorato le possibilità per affrontare” qualsiasi deficit residuo.

L'incidente segue un errore dell'oracolo dell'aprile 2025 che ha innescato circa 918 ETH in liquidazioni involontarie. All'epoca, Term ha recuperato circa 556 ETH, riducendo la perdita finale a 362 ETH e rimborsando gli utenti interessati, secondo la sua analisi post-mortem. In seguito all'incidente, Term si è impegnata a introdurre una convalida da parte di terzi per gli aggiornamenti critici e una maggiore trasparenza della governance. 

Rivista: MiCA inasprisce la stretta su USDT in Europa... ma a nessun altro importa