Uma Lição Aprendida com a Term Finance Relativamente a 8,5 Milhões de Dólares

A 23 de agosto, 2 843 ETH e 1,68 milhões de USDC desapareceram dos cofres da Term Finance. A perda total ascende aproximadamente a 8,5 milhões de dólares. Curiosamente, desta vez não houve uma vulnerabilidade de contrato inteligente nem um ataque de empréstimo instantâneo. O atacante assumiu diretamente o controlo da votação de governação do protocolo.

Como Funcionou o Ataque?

Num incidente confirmado pela CertiK e pela PeckShield, o atacante obteve controlo total da votação em quatro dos cinco cofres de estratégias de USDC; no Ethereum Meta Vault, alcançou aproximadamente 91% do poder de voto. Com uma maioria deste tipo, só faltava fazer uma coisa: aprovar uma votação para desviar os fundos para a sua própria carteira. E foi exatamente isso que o atacante fez.

O ponto verdadeiramente surpreendente está no início. Toda esta operação começou com apenas 2 ETH de capital inicial provenientes da Tornado Cash. A partir desta pequena quantia, o atacante conseguiu construir um poder de voto que controlava milhões de dólares em depósitos de utilizadores. Os USDC roubados foram rapidamente convertidos em aproximadamente 1,6 milhões de DAI e consolidados num único endereço de carteira (que começa por 0xD5183).

Porque é que isto é importante?

É algo que merece reflexão: ao contrário dos ataques de governação, das vulnerabilidades de reentrada ou dos erros de código, isto não exige conhecimentos técnicos. Passa silenciosamente por contratos aparentemente impecáveis e auditados. Embora os protocolos geralmente reduzam a segurança à auditoria do código, o próprio mecanismo de votação pode tornar-se uma superfície de ataque — e esta é uma ameaça para a qual o setor não está devidamente preparado.

A equipa da Term Labs confirmou o incidente e salientou especificamente que não se tratou de uma vulnerabilidade de contrato inteligente. A empresa tem outro incidente no seu historial: em maio de 2025, ocorreu uma perda de aproximadamente 1,5 milhões de dólares devido a um erro decimal no oráculo durante uma atualização de rotina, mas não se tratou de um ato malicioso e os fundos foram posteriormente recuperados. Desta vez, a história é completamente diferente; um agente externo visou deliberadamente o mecanismo democrático que os protocolos utilizam para gerir a sua tesouraria e as suas estratégias.

Uma Conclusão para os Utilizadores de DeFi

Este incidente acrescenta mais uma falha de segurança ao panorama de DeFi em agosto. A mensagem é clara: por mais robustos que sejam os contratos inteligentes de um protocolo, a distribuição e a concentração do poder de voto dos tokens de governação são fatores de risco tão críticos como o próprio código. Qualquer estrutura em que seja possível acumular um poder de voto significativo com pouco capital continua vulnerável a um ataque semelhante.

Há uma conclusão prática para quem detém criptoativos em protocolos DeFi: é necessário avaliar os seus fundos não só com base nos relatórios de auditoria dos contratos inteligentes, mas também tendo em conta a suscetibilidade da estrutura de governação do protocolo à centralização. Reavaliar a sua carteira e os seus riscos com isto em mente poderá ser o passo mais sensato desta semana.