Exploit de US$ 8,5 milhões derruba empréstimos da Term Labs

A Term Labs, protocolo de empréstimos a juros fixos que usa leilões on-chain para definir taxas, perdeu cerca de US$ 8,5 milhões em um exploit de governança que atingiu os seus vaults no domingo. A empresa de segurança PeckShield reportou o caso, e a equipe da Term Labs respondeu com um comunicado reconhecendo o ataque. O responsável retirou 2.843 ether, cotados na época em torno de US$ 6,87 milhões, e 1,68 milhão de USDC, que depois foram convertidos em DAI. A quantia equivale a pouco mais de dois terços do valor que o protocolo mantinha preso na plataforma na semana anterior ao ataque.

A carteira que executou a drenagem foi previamente abastecida com 2 ETH retirados do Tornado Cash, misturador usado para romper o rastro entre a origem e o destino dos fundos.

O valor total sob custódia dos vaults chegava a US$ 12,2 milhões, com US$ 8,6 milhões concentrados na rede Ethereum e o restante distribuído entre Binance, Avalanche e os contratos baseados em Base, conforme os registros da DeFiLlama.

Agora resta dimensionar o prejuízo. O protocolo não informou de imediato qual função de governança foi explorada pelo atacante, e a equipe afirmou que divulgará mais detalhes assim que a investigação avançar. O caso abre uma janela sobre um tipo de falha rara, porém cara, dentro de finanças descentralizadas. Exploits de governança aparecem com menos frequência do que brechas em contratos ou oráculos, mas costumam drenar somas maiores quando ocorrem, porque dependem da aprovação de uma proposta. A Term Labs opera empréstimos fixos por meio de leilões, e a estrutura de votação por governança acabou virando o ponto de ataque.

A raridade cara dos ataques de governança

Em 2026, a DeFiLlama registrou cinco ataques classificados como de governança, somando US$ 25,1 milhões.

O maior deles foi uma proposta maliciosa contra a BonkDAO, em julho, que custou US$ 20 milhões. Os outros quatro casos ficaram abaixo dos US$ 3 milhões cada um, o que mostra o contraste entre o evento isolado da Bonk e a média do restante. O golpe na Term Labs entra nessa contagem como um dos mais pesados da categoria neste ano, ao lado do caso da BonkDAO.

A leitura dos dados sugere que falhas de governança, quando combinadas com liquidez acumulada, produzem perdas desproporcionais para o tamanho do incidente em si.

A mecânica do leilão on-chain, que deveria dar eficiência ao empréstimo, também concentrou em um só vetor a exposição a esse tipo de ataque. Em um setor em que a liquidez tende a migrar para onde há maior percepção de segurança, um episódio como esse pode acelerar a retirada de capital dos vaults até que o protocolo restabeleça a confiança dos tomadores.

Um mês de perdas acumuladas

O dreno da Term Labs acontece em um mês que já acumulava perdas relevantes.

Agosto contava com 17 incidentes de segurança somando cerca de US$ 18,8 milhões antes do golpe na Term Labs, de acordo com os registros da DeFiLlama. Com os US$ 8,5 milhões do novo caso, o mês passa para um total superior a US$ 27 milhões. O ritmo, no entanto, ainda fica atrás de julho, que encerrou com 38 incidentes e cerca de US$ 254 milhões em prejuízo.

Grande parte desse volume veio de um único evento, a falha no firmware da carteira Coldcard, responsável por US$ 116 milhões do montante de julho.

A comparação entre os dois meses mostra a diferença entre frequência e concentração de dano. Julho teve prejuízo médio maior por incidente, impulsionado pela soma da Coldcard e do próprio ciclo de ataques daquele mês. Agosto, até aqui, registra mais casos de valor menor, com destaque para a Harmony, onde um atacante cunhou sem autorização cerca de 4 bilhões de tokens, e para a processadora Coinsbuy, drenada em US$ 7,9 milhões.

Nenhuma dessas brechas, no entanto, somou o mesmo impacto da exploração de governança vista na Term Labs.

O caso também se soma a uma sequência recente em que a recuperação de fundos raramente acontece de forma integral. Ainda não há indicação de que os valores retirados da Term Labs tenham sido devolvidos. Os USDC foram convertidos em DAI logo após o saque, movimento que dificulta o rastreamento e a eventual devolução. A mistura inicial via Tornado Cash reforça essa dificuldade, pois apaga a ligação entre a carteira que enviou os recursos e a que passou a controlá-los.

A resposta final depende do resultado da investigação, que segue em andamento.

Para quem detinha posições nos vaults, o desfecho é incerto até que o protocolo defina o plano de endereçamento das perdas e o aprendizado sobre a governança que abriu a brecha. O episódio reforça o peso que decisões administrativas têm dentro de um sistema desenhado para o usuário controlar o próprio capital, e mostra que a mesma porta aberta para ajustes legítimos pode servir de entrada para um ataque.