Exploit em governança da Term Finance retira US$ 8,5 milhões de cofres na Ethereum

A Term Finance, protocolo de empréstimos baseado em Ethereum, sofreu um prejuízo estimado em cerca de US$ 8,5 milhões após um ataque que explorou controles personalizados de governança ligados aos seus cofres. Os invasores conseguiram retirar ativos como Ether, USDC e DAI. A Yearn afirmou que seus cofres padrão não foram afetados, já que o vetor de ataque mirou uma camada de governança customizada usada pela Term. Em publicação no X, a Term Labs informou que a exploração atingiu cofres da Term e que abriu uma investigação interna. A equipe não confirmou o valor exato perdido nem detalhou quais Strategy Vaults tiveram saques não autorizados. A PeckShield estimou que o atacante retirou 2.843 ETH (cerca de US$ 6,9 milhões) e mais 1,68 milhão de USDC; segundo a empresa, o USDC foi trocado por aproximadamente 1,68 milhão de DAI. A CertiK, ao analisar as transações on-chain, também apontou perdas próximas de US$ 8,5 milhões. A PeckShield rastreou os fundos até o endereço "e vlojiz", que teria recebido inicialmente 2 ETH oriundos do Tornado Cash. Os Strategy Vaults da Term seguem o padrão ERC4626 e rodam sobre infraestrutura construída com arquitetura Yearn V3. O ataque, no entanto, não explorou a base padrão da Yearn, e sim um "wrapper" de governança específico da Term. A própria Yearn indicou no X que esse tipo de exploração não afeta cofres que operam sob seus arranjos padrão. A Term divide a autoridade operacional e a supervisão dos depositantes em diferentes papéis. Um manager conduz leilões, enquanto um governor define parâmetros de risco, funções de emergência e configurações mais amplas do protocolo. Provedores de liquidez participam como membros de DAO e podem vetar transações de governança durante um timelock de sete dias. Mesmo assim, a Term ainda não esclareceu qual função teria sido comprometida nem por que as proteções falharam. Antes do incidente, o produto de cofres da Term mantinha cerca de US$ 12,45 milhões nas redes suportadas, segundo a DefiLlama. Desse total, aproximadamente US$ 8,8 milhões estavam em cofres implantados na blockchain Ethereum. Com isso, a perda reportada corresponde a quase 68% do valor total bloqueado (TVL) do produto de cofres considerando todas as redes. O episódio aumenta a pressão sobre o protocolo após outra ocorrência: em abril de 2025, a Term registrou uma perda separada de US$ 1,6 milhão quando um oráculo configurado incorretamente acionou liquidações indevidas. Na ocasião, o protocolo recuperou mais de US$ 1 milhão e afirmou que usaria recursos do tesouro para cobrir o restante. Ataques de governança seguem como um risco recorrente no DeFi, já que agentes maliciosos podem manipular mecanismos de votação ou obter controles administrativos privilegiados. A investigação da Term deve apontar como o atacante conquistou acesso de governança e superou salvaguardas desenhadas para proteger depositantes.