Un attaccante partito con appena 2 ETH prelevati da Tornado Cash è riuscito a conquistare il controllo quasi totale di alcuni vault decentralizzati e a portare via 8,5 milioni di dollari in pochi passaggi. È quanto emerge dall’exploit governance Term Labs confermato il 23 agosto 2026, un episodio che riporta al centro del dibattito crypto un tema scomodo: la sicurezza di un protocollo DeFi non dipende solo dal codice, ma anche da chi controlla i meccanismi di voto.
Summary
Punti chiave
- Term Labs ha confermato un exploit di governance avvenuto il 23 agosto 2026, con circa 8,5 milioni di dollari drenati dai vault del protocollo.
- Gli attaccanti hanno sottratto circa 2.843 ETH (pari a circa 6,87 milioni di dollari) e 1,68 milioni di USDC, poi convertiti in circa 1,6 milioni di DAI.
- L’attaccante ha ottenuto il controllo del voto su quattro dei cinque vault USDC e circa il 91% del controllo sull’Ethereum Meta Vault.
- I fondi iniziali dell’attacco arrivavano da soli 2 ETH tracciati fino a Tornado Cash, senza ulteriori prove di riciclaggio.
- Term Labs sta indagando ma non ha ancora pubblicato un’analisi tecnica dettagliata dell’accaduto.
Term Labs colpita da un exploit di governance da 8,5 milioni di dollari
L’attacco ha riguardato Term Finance, il protocollo di lending a tasso fisso costruito su Ethereum da Term Labs. Term Labs ha reso pubblico l’accaduto tramite un post sul proprio account X, confermando che il 23 agosto un attore esterno ha sfruttato le regole di governance dei suoi vault per prelevare fondi. Le società di sicurezza PeckShield e CertiK hanno tracciato in modo indipendente un ammontare complessivo vicino agli 8,5 milioni di dollari, confermando la portata reale dell’incidente.
Non si è trattato di un bug nel codice o di una vulnerabilità tecnica nel senso classico. Secondo quanto ricostruito, l’attaccante ha accumulato gradualmente potere di voto fino a ottenere il controllo pieno su quattro dei cinque vault USDC della piattaforma e circa il 91% dei diritti decisionali sull’Ethereum Meta Vault. Con quella maggioranza in mano, ha semplicemente votato per trasferire i fondi verso un unico indirizzo, che iniziava con 0xD5183.
Come l’attaccante ha preso il controllo dei vault
Il punto di partenza è stato minimo: appena 2 ETH provenienti da Tornado Cash, il noto mixer usato per oscurare l’origine dei fondi on-chain. Da quella somma modesta, l’attaccante ha costruito passo dopo passo il potere di voto necessario per prendere possesso di vault che custodivano depositi per milioni di dollari. Questo è il dettaglio che rende il caso particolarmente istruttivo per chi studia i rischi sicurezza DeFi: bastano meccanismi di governance poco protetti, non serve violare uno smart contract.
Dettagli dell’exploit e degli asset sottratti
PeckShield ha calcolato che l’attaccante ha prelevato circa 2.843 ETH, per un valore stimato in 6,87 milioni di dollari al momento del prelievo, insieme a 1,68 milioni di USDC sottratti dall’infrastruttura dei vault collegati a Term. La società ha inoltre osservato che gli USDC rubati sono stati successivamente convertiti in circa 1,6 milioni di DAI.
CertiK, monitorando lo stesso indirizzo identificato come 0xD5183d8BfC65a50863C62aF2538198A8288FFc13, ha confermato che il wallet deteneva effettivamente 2.843 ETH e circa 1,6 milioni di DAI, allineandosi alla ricostruzione di PeckShield sul flusso dei fondi. La tracciabilità dei finanziamenti iniziali dell’attaccante, riconducibili a soli 2 ETH da Tornado Cash, non ha però permesso di identificarne l’identità né di dimostrare ulteriori attività di riciclaggio oltre quel primo passaggio.
La risposta di Term Labs e le indagini in corso
Term Labs ha confermato pubblicamente l’exploit e ha dichiarato che l’episodio è ancora oggetto di indagine. Al momento in cui l’informazione è stata diffusa, il team non aveva ancora pubblicato un’analisi tecnica formale che spiegasse nel dettaglio quale funzione di governance, quale percorso contrattuale o quale sequenza di permessi sia stata effettivamente sfruttata.
Un dato importante per inquadrare la vicenda: il prodotto colpito sono stati i Term Vaults, costruiti su contratti Yearn v3, e non la struttura core dei repo di lending del protocollo. Term Finance aveva già avvertito, nella propria documentazione legale, che i vault potevano contenere vulnerabilità nei contratti intelligenti o rischi legati a protocolli esterni capaci di causare perdite di fondi. Questo separa concettualmente l’attacco dal cuore del sistema di prestito a tasso fisso su cui Term Finance ha costruito la propria proposta di valore.
Le indagini di PeckShield e CertiK hanno chiarito un punto centrale: l’exploit non ha compromesso né Ethereum né il protocollo USDC in senso stretto. È stata la governance interna dei vault a essere manipolata, non l’infrastruttura sottostante della blockchain o della stablecoin. Una distinzione che conta, perché sposta la responsabilità sui controlli di protocollo piuttosto che sulle reti su cui il protocollo è costruito.
Cosa significa per la sicurezza e la governance nella DeFi
Il caso Term Labs mostra un rischio che il settore DeFi tende a sottovalutare rispetto ai classici attacchi flash loan o reentrancy: gli attacchi di governance non richiedono competenze tecniche particolari. Sfruttano semplicemente il meccanismo democratico che i protocolli usano per gestire tesorerie e parametri operativi. Se i pesi di voto non sono adeguatamente protetti, un attore con capitale limitato può accumulare controllo decisionale senza toccare una sola riga di codice controllato da audit.
Questo tipo di vulnerabilità è architetturale, non software: si colloca all’incrocio tra tokenomics, scarsa partecipazione degli utenti al voto e controlli di accesso insufficienti sulle funzioni di gestione dei vault. Per chi deposita fondi in protocolli DeFi, il messaggio è chiaro: anche contratti sottoposti ad audit possono restare esposti se le regole di governance permettono a un singolo attore di accumulare potere decisionale sproporzionato rispetto al capitale investito.
Non è il primo incidente per Term Finance
Term Finance aveva già attraversato un episodio simile, anche se di natura diversa. Nel maggio 2025 il protocollo aveva perso circa 1,5 milioni di dollari a causa di un errore di disallineamento decimale in un oracolo, avvenuto durante un aggiornamento di routine. In quel caso l’errore non era dovuto a un attore malevolo e i fondi furono recuperati. La società, fondata con 2,5 milioni di dollari di finanziamento seed raccolti nel 2023 sotto la guida del CEO Dion Chu, ha costruito la propria identità attorno all’idea di portare on-chain strutture di prestito a tasso fisso simili a quelle della finanza tradizionale, tramite collateral bloccato in locker dedicati per ridurre l’esposizione condivisa tra utenti.
La differenza rispetto all’episodio attuale è netta: mentre l’errore del 2025 era interno e recuperabile, l’exploit di agosto 2026 ha coinvolto un attore esterno che ha deliberatamente instradato il proprio capitale iniziale attraverso Tornado Cash, uno strumento pensato esattamente per rendere più difficile ricostruire il collegamento tra mittente e destinatario dei fondi.
Il prossimo elemento verificabile sarà l’aggiornamento promesso da Term Labs sull’indagine in corso. Depositanti e osservatori del settore vorranno sapere quali vault specifici sono stati colpiti, se esistono margini di recupero dei fondi e quali restrizioni di governance verranno introdotte per evitare che un attacco identico si ripeta su altri protocolli DeFi con strutture di voto simili.
FAQ
Cosa è successo durante l’exploit di governance a Term Labs?
Il 23 agosto 2026 alcuni attaccanti hanno sfruttato i permessi di governance dei Term Vaults per prelevare circa 8,5 milioni di dollari, tra cui token Ethereum e USDC.
L’exploit ha compromesso la blockchain di Ethereum o il protocollo USDC?
No, l’attacco ha riguardato i permessi di governance interni al protocollo di Term Labs, senza compromettere la blockchain di Ethereum né il protocollo USDC.
A che punto è l’indagine sull’exploit?
Term Labs ha confermato l’exploit e ha dichiarato di essere impegnata in un’indagine attiva, ma non ha ancora pubblicato un’analisi tecnica dettagliata dell’accaduto.
Come ha finanziato l’attacco l’attaccante inizialmente?
I fondi iniziali dell’attaccante sono stati tracciati fino a 2 ETH provenienti da Tornado Cash, ma non sono state trovate ulteriori prove di attività di riciclaggio.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
