Term Finance, protocollo di prestito DeFi su Ethereum (ETH), ha subito una perdita di circa 8,5 milioni di dollari dopo che, il 23 agosto, un attaccante ha sfruttato il sistema di governance per prendere il controllo degli asset custoditi nei suoi vault.
Punti chiave:
- L’attaccante ha drenato circa 8,5 milioni di dollari, inclusi 2.843 ETH e circa 1,68 milioni in stablecoin, secondo i ricercatori di sicurezza on-chain.
- L’incidente ha preso di mira i controlli di governance, non una classica vulnerabilità di smart contract.
- Ethereum ha guidato le perdite sulla blockchain nel primo semestre 2026, con circa 332 milioni di dollari sottratti negli incidenti monitorati, secondo Blockaid.
L’exploit su Term Finance
Term Labs ha dichiarato di essere “a conoscenza di un exploit di governance che interessa i vault di Term” e ha promesso ulteriori dettagli al termine delle verifiche interne. PeckShield stima che l’attaccante abbia prelevato 2.843 ETH, pari a circa 6,87 milioni di dollari, e 1,68 milioni di USD Coin (USDC) dal protocollo.
Secondo PeckShield, l’attaccante ha poi convertito gli USDC in circa 1,68 milioni di Dai (DAI), mentre il wallet utilizzato per l’operazione aveva ricevuto 2 ETH tramite Tornado Cash. La catena di finanziamento non consente di identificarne con certezza l’autore.
Le ricostruzioni indicano che l’attaccante avrebbe accumulato sufficiente potere di voto in governance per far passare proposte che gli trasferivano il controllo dei vault colpiti. L’operazione ha quindi sfruttato le dinamiche di governance più che una debolezza tecnica del codice, rendendo la scarsa partecipazione al voto e l’eccessiva concentrazione del potere decisionale fattori chiave dell’attacco.
Da leggere anche: Colori di iPhone 18 Pro trapelati, l’Arancione Cosmico potrebbe scomparire
I rischi di sicurezza su Ethereum
Blockaid ha censito 212 incidenti di sicurezza on-chain e 1,1 miliardi di dollari di perdite nel primo semestre 2026, di cui circa 332 milioni riferibili alla rete Ethereum. Nel suo report, la società indica vulnerabilità nelle applicazioni e nelle logiche dei protocolli come principali driver delle perdite sulla rete.
Gli attacchi di governance presentano un profilo di rischio diverso: le azioni malevole possono infatti passare attraverso i percorsi di controllo autorizzati, senza violare direttamente il codice degli smart contract.
Questo rende cruciali, oltre agli audit sul codice, la dispersione del potere di voto, la revisione rigorosa delle proposte e meccanismi di ritardo nell’esecuzione delle decisioni di governance.
Term Finance aveva già affrontato un diverso incidente operativo il 26 aprile 2025, quando un’incongruenza nelle cifre decimali di un oracolo aveva innescato liquidazioni indesiderate per circa 918 ETH. Il protocollo è riuscito a recuperare circa 556 ETH, con una perdita netta di 362 ETH, pari a circa 650.000 dollari, e ha assicurato il rimborso completo agli utenti colpiti.
Prossimo articolo: Bitcoin e oro come copertura contro la crisi del debito USA, avverte Ray Dalio
