Term Finance, protocollo di lending DeFi basato su Ethereum (ETH), ha subito una perdita di circa 8,5 milioni di dollari dopo che un attaccante ha sfruttato il sistema di governance per prendere il controllo degli asset custoditi nelle sue vault il 23 agosto.
Punti chiave:
- Secondo i ricercatori di sicurezza on-chain, l’attaccante ha drenato circa 8,5 milioni di dollari, inclusi 2.843 ETH e circa 1,68 milioni di dollari in stablecoin.
- L’operazione ha colpito i meccanismi di governance, non una classica vulnerabilità di smart contract.
- Nel primo semestre 2026 Ethereum è stato la principale vittima di furti on-chain, con circa 332 milioni di dollari sottratti, secondo Blockaid.
L’exploit su Term Finance
Term Labs ha dichiarato di essere “consapevole di un exploit di governance che interessa le vault di Term” e ha promesso ulteriori aggiornamenti al termine delle indagini. Secondo le stime di PeckShield, l’attaccante ha prelevato 2.843 ETH, pari a circa 6,87 milioni di dollari, e 1,68 milioni di USD Coin (USDC) dal protocollo.
PeckShield riferisce che l’attaccante ha poi convertito gli USDC in circa 1,68 milioni di Dai (DAI), mentre il wallet utilizzato per l’operazione era stato finanziato con 2 ETH tramite Tornado Cash. Il tracciamento dei flussi non consente al momento di identificarne l’autore.
Le ricostruzioni indicano che l’attaccante ha accumulato sufficiente potere di governance per approvare proposte che gli hanno conferito il controllo sulle vault colpite. L’episodio si è quindi basato sulle regole di governance del protocollo, più che su un bug del codice, mettendo in luce come la scarsa partecipazione e l’eccessiva concentrazione dei diritti di voto possano trasformarsi in vettori d’attacco.
Da leggere anche: Colori di iPhone 18 Pro, fuga di notizie: il Cosmic Orange potrebbe scomparire
I rischi di sicurezza su Ethereum
Blockaid ha censito 212 incidenti di sicurezza on-chain e 1,1 miliardi di dollari di perdite nel primo semestre 2026, di cui circa 332 milioni riferibili alla sola rete Ethereum. Nel suo report, la società attribuisce la maggior parte dei danni a vulnerabilità a livello di applicazioni e logica dei protocolli.
Gli attacchi di governance rappresentano tuttavia una categoria distinta di rischio: le azioni malevole possono essere eseguite attraverso percorsi di controllo “autorizzati”, senza violare esplicitamente il codice degli smart contract.
Questo rende cruciali, oltre agli audit sul codice, presidi come la dispersione del potere di voto, un attento scrutinio delle proposte e adeguati ritardi nell’esecuzione (time lock) delle decisioni on-chain.
Term Finance aveva già sperimentato un grave incidente operativo il 26 aprile 2025, quando un’incongruenza nelle cifre decimali di un oracolo aveva innescato liquidazioni indesiderate per circa 918 ETH. Il protocollo era riuscito a recuperare 556 ETH, lasciando una perdita netta di 362 ETH (circa 650.000 dollari), e aveva promesso il rimborso integrale degli utenti coinvolti.
Prossimo articolo: Bitcoin e oro come copertura contro la crisi del debito USA, avverte Ray Dalio
