Term Finance è stato colpito da un exploit di governance che ha interessato i suoi vault su Ethereum. L’episodio, sviluppatosi il 23 agosto 2026, ha portato al trasferimento di asset digitali stimati in circa 8,5 milioni di dollari. La cifra non è stata ancora confermata ufficialmente dal protocollo, ma le prime analisi di società di sicurezza blockchain indicano il prelievo di circa 2.843 ETH e 1,68 milioni di USDC, successivamente convertiti in DAI.
Term Labs, società che sviluppa il protocollo, ha riconosciuto pubblicamente l’accaduto definendolo un “governance exploit” e ha dichiarato che avrebbe fornito ulteriori dettagli dopo l’indagine. Al momento della pubblicazione, non risultano ancora disponibili un rapporto tecnico completo, una contabilità definitiva delle perdite o un piano ufficiale di rimborso per gli utenti coinvolti.
Non un attacco diretto al codice dei vault
La particolarità dell’incidente è che, secondo le ricostruzioni disponibili, l’attaccante non avrebbe sfruttato una falla classica come una rientranza, un errore dell’oracolo o una funzione non prevista dal protocollo. L’operazione avrebbe invece utilizzato gli stessi meccanismi di governance progettati per autorizzare modifiche ai vault e la gestione delle strategie d’investimento.
Term Finance offre mercati di lending a tasso fisso e utilizza vault strategici per allocare il capitale tra i propri mercati e protocolli di prestito a tasso variabile. I vault sono strutture tokenizzate basate sullo standard ERC-4626 e sull’infrastruttura Yearn V3. Il loro funzionamento consente agli utenti di depositare fondi e ricevere quote rappresentative della propria posizione.
La governance dei vault separa diversi livelli di controllo. Un manager gestisce le operazioni legate alle aste, mentre un governor può intervenire su parametri di rischio, configurazione del protocollo e funzioni d’emergenza. I fornitori di liquidità, inoltre, possono partecipare alla governance e, secondo la documentazione del protocollo, bloccare le proposte durante un periodo di attesa di sette giorni.
Le protezioni non hanno impedito il trasferimento dei fondi
Le prime analisi indicano che proprio la struttura di voto avrebbe permesso all’attaccante di ottenere un’influenza sufficiente sui vault interessati e di approvare modifiche capaci di spostare le riserve. Le proposte sarebbero rimaste in coda per diversi giorni prima dell’esecuzione, senza che il meccanismo di veto venisse utilizzato in tempo.
Questo elemento distingue l’episodio da un attacco basato esclusivamente sulla scoperta di un bug. Il rischio, in questo caso, riguarda la possibilità che un soggetto acquisisca una quota dominante del potere di voto in un sistema con bassa partecipazione e con una quantità limitata di token o quote effettivamente disponibili sul mercato. Una volta ottenuto il controllo, le operazioni autorizzate dalla governance possono diventare lo strumento per trasferire gli asset depositati.
PeckShield ha stimato il trasferimento di circa 2.843 ETH, per un valore allora vicino a 6,9 milioni di dollari, insieme a circa 1,68 milioni di USDC. La società di sicurezza ha riferito che la stablecoin sarebbe stata convertita in una quantità analoga di DAI. CertiK ha fornito una stima complessiva delle perdite vicina a 8,5 milioni di dollari. Poiché Term Labs non ha ancora pubblicato il proprio bilancio dell’incidente, queste cifre devono essere considerate provvisorie.
Un impatto significativo per il segmento dei vault
Prima dell’attacco, i vault di Term Finance detenevano secondo le stime disponibili circa 12,45 milioni di dollari di valore totale bloccato, di cui quasi 8,8 milioni sulla rete Ethereum. La perdita stimata rappresenterebbe quindi una parte molto rilevante delle riserve gestite dai vault, anche se il valore complessivo del protocollo includeva ulteriori prodotti e mercati di lending.
La distinzione è importante per valutare l’impatto. L’incidente non equivale necessariamente a un attacco all’intera infrastruttura di Term Finance: le informazioni disponibili collegano il drenaggio soprattutto alla componente dei vault. Resta tuttavia da chiarire quali contratti siano stati coinvolti, quali posizioni degli utenti siano ancora recuperabili e se eventuali attività collaterali del protocollo siano state interessate.
Per Ethereum, il caso riporta al centro il tema della sicurezza dei protocolli DeFi che gestiscono asset attraverso livelli di governance complessi. Audit del codice, timelock e possibilità di veto possono ridurre il rischio, ma non eliminano il problema quando il potere di voto è concentrato o quando gli utenti non monitorano attivamente le proposte in coda.
Perché la vicenda riguarda l’intero settore DeFi
La vicenda di Term Finance evidenzia una differenza spesso sottovalutata tra sicurezza dello smart contract e sicurezza del processo decisionale. Un contratto può eseguire correttamente le istruzioni ricevute e, allo stesso tempo, trasferire fondi in modo indesiderato se la governance che controlla quei parametri viene manipolata.
Per gli investitori istituzionali e per gli utenti della finanza decentralizzata, la conseguenza è un ampliamento della due diligence necessaria. Non basta verificare se un protocollo è stato sottoposto ad audit: occorre analizzare chi può modificare i parametri, quale quantità di capitale è protetta dal voto, quanto è effettiva la partecipazione degli utenti e se il timelock consente davvero una risposta prima dell’esecuzione.
- La perdita stimata è di circa 8,5 milioni di dollari, ma il dato resta non confermato da Term Labs.
- L’attacco ha interessato la governance dei vault e non è stato descritto come una semplice vulnerabilità del codice.
- Le analisi disponibili indicano il trasferimento di ETH e stablecoin, con successiva conversione degli USDC in DAI.
- Il protocollo non ha ancora reso pubblico un rapporto tecnico definitivo né un piano ufficiale di rimborso.
Il prossimo passaggio sarà quindi la pubblicazione dell’analisi forense di Term Labs. Da quel documento dipenderà la possibilità di stabilire con precisione come sia stato ottenuto il controllo dei vault, perché i meccanismi di attesa e veto non abbiano bloccato le proposte e quale quota degli asset possa essere eventualmente recuperata.
