Un attaquant qui a commencé avec seulement 2 ETH retirés de Tornado Cash a réussi à prendre le contrôle presque total de certains coffres-forts décentralisés et à voler 8,5 millions de dollars en quelques étapes seulement. C'est ce qui ressort deexploiter la gouvernance Term Labs confirmé le 23 août 2026, un épisode qui ramène un sujet inconfortable au centre du débat crypto : la sécurité d'un protocole DeFi ne dépend pas seulement du code, mais aussi de qui contrôle les mécanismes de vote.
Points clés
- Term Labs a confirmé un exploit de gouvernance survenu le 23 août 2026, avec environ 8,5 millions de dollars vidés des coffres-forts du protocole.
- Les attaquants ont soustrait environ 2 843 ETH (équivalent à environ 6,87 millions de dollars) e 1,68 million de dollars américainspuis converti en environ 1,6 million de DAI.
- L'attaquant a obtenu le contrôle des votes sur quatre des cinq coffres-forts de l'USDC et environ 91% de contrôle sur Ethereum Meta Vault.
- Les fonds initiaux de l’attaque provenaient de seulement 2 ETH attribués à Tornado Cash, sans aucune autre preuve de blanchiment.
- Term Labs enquête mais n'a pas encore publié d'analyse technique détaillée de l'incident.
Term Labs touché par un exploit de gouvernance de 8,5 millions de dollars
L’attaque concernait Term Finance, le protocole de prêt à taux fixe construit sur Ethereum par Term Labs. Term Labs a rendu l'incident public via une publication sur son compte X, confirmant que le 23 août, un acteur externe a exploité ses règles de gouvernance du coffre-fort pour retirer des fonds. Entreprises de sécurité Bouclier Peck Et Certifié a retracé de manière indépendante un montant total proche de 8,5 millions de dollars, confirmant la véritable ampleur de l'incident.
Il ne s’agissait pas d’un bug dans le code ni d’une vulnérabilité technique au sens classique du terme. Selon ce qui a été reconstitué, l'attaquant a progressivement accumulé le pouvoir de vote jusqu'à obtenir le contrôle total de quatre des cinq coffres-forts USDC de la plateforme et environ 91 % des droits de décision sur l'Ethereum Meta Vault. Avec cette majorité en main, il a simplement voté pour transférer les fonds vers une seule adresse, commençant par 0xD5183.
Comment l'attaquant a pris le contrôle des coffres-forts
Le point de départ était minime : seulement 2 ETH provenant de Tornado Cash, le célèbre mélangeur utilisé pour obscurcir l'origine des fonds en chaîne. À partir de cette somme modeste, l'attaquant a progressivement construit le pouvoir de vote nécessaire pour prendre possession de coffres-forts contenant des dépôts valant des millions de dollars. C'est ce détail qui rend le cas particulièrement instructif pour ceux qui étudient Risques de sécurité DeFi: des mécanismes de gouvernance mal protégés suffisent, il n’est pas nécessaire de violer un smart contract.
Détails de l'exploit et des actifs volés
PeckShield a calculé que l'attaquant avait retiré environ 2 843 ETH, d'une valeur estimée à 6,87 millions de dollars au moment du retrait, ainsi que 1,68 million d'USDC volés dans l'infrastructure du coffre-fort connecté à Term. La société a également noté que l'USDC volé avait ensuite été converti en environ 1,6 million de DAI.
CertiK, en surveillant la même adresse identifiée comme 0xD5183d8BfC65a50863C62aF2538198A8288FFc13, a confirmé que le portefeuille détenait en réalité 2 843 ETH et environ 1,6 million de DAI, ce qui correspond à la reconstruction du flux de fonds par PeckShield. Cependant, la traçabilité du financement initial de l'attaquant, remontant à seulement 2 ETH de Tornado Cash, ne nous a pas permis d'identifier son identité ni de démontrer d'autres activités de blanchiment d'argent au-delà de cette première étape.
Réponse de Term Labs et enquête en cours
Term Labs a publiquement confirmé l'exploit et a déclaré que l'incident faisait toujours l'objet d'une enquête. Au moment de la publication de l'information, l'équipe n'avait pas encore publié d'analyse technique formelle détaillant quelle fonction de gouvernance, quel chemin contractuel ou quelle séquence d'autorisations était réellement exploitée.
Un fait important pour cadrer l'histoire : le produit concerné était les Term Vaults, construits sur les contrats Yearn v3, et non la structure de base des pensions de prêt du protocole. Term Finance avait déjà prévenu dans sa documentation juridique que les coffres pourraient contenir des vulnérabilités dans les contrats intelligents ou des risques liés à des protocoles externes susceptibles de provoquer des pertes de fonds. Cela sépare conceptuellement l’attaque du cœur du système de prêt à taux fixe sur lequel Term Finance a construit sa proposition de valeur.
Les investigations de PeckShield et CertiK ont clarifié un point central : l’exploit n’a compromis ni Ethereum ni le protocole USDC au sens strict. C’est la gouvernance interne des coffres-forts qui a été manipulée, et non l’infrastructure sous-jacente de la blockchain ou du stablecoin. Une distinction importante, car elle transfère la responsabilité vers les contrôles du protocole plutôt que vers les réseaux sur lesquels le protocole est construit.
Ce que cela signifie pour la sécurité et la gouvernance dans DeFi
Le cas Term Labs montre un risque que le secteur DeFi a tendance à sous-estimer par rapport aux attaques classiques de flash prêt ou de réentrance : les attaques de gouvernance ne nécessitent pas de compétences techniques particulières. Ils exploitent simplement le mécanisme démocratique que les protocoles utilisent pour gérer les trésoreries et les paramètres opérationnels. Si la pondération des votes n’est pas suffisamment protégée, un acteur disposant d’un capital limité peut accumuler le contrôle des décisions sans toucher à une seule ligne de code contrôlé par audit.
Ce type de vulnérabilité est architecturale et non logicielle : elle se situe à l’intersection de la tokenomics, d’une faible participation des utilisateurs au vote et de contrôles d’accès insuffisants sur les fonctions de gestion des coffres-forts. Pour ceux qui déposent des fonds dans les protocoles DeFi, le message est clair : même les contrats audités peuvent rester exposés si les règles de gouvernance permettent à un seul acteur d’accumuler un pouvoir de décision disproportionné au capital investi.
Ce n’est pas le premier incident pour Term Finance
Term Finance avait déjà vécu un épisode similaire, quoique de nature différente. En mai 2025, le protocole avait perdu environ 1,5 million de dollars en raison d'une erreur de biais décimal dans un oracle, survenue lors d'une mise à jour de routine. Dans ce cas, l’erreur n’était pas due à un acteur malveillant et les fonds ont été récupérés. La société, fondée avec 2,5 millions de dollars de financement d'amorçage levé en 2023 sous la direction du PDG Dion Chu, a construit son identité autour de l'idée de proposer des structures de prêt à taux fixe similaires à celles de la finance traditionnelle en chaîne, via des garanties verrouillées dans des casiers dédiés pour réduire l'exposition partagée entre les utilisateurs.
La différence avec l'épisode actuel est claire : alors que l'erreur de 2025 était interne et récupérable, l'exploit d'août 2026 impliquait un acteur externe qui a délibérément acheminé son capital initial via Tornado Cash, un outil conçu précisément pour rendre plus difficile la reconstruction du lien entre l'expéditeur et le destinataire des fonds.
Le prochain élément vérifiable sera la mise à jour promise par Term Labs sur l'enquête en cours. Les déposants et les observateurs du secteur voudront savoir quels coffres-forts spécifiques ont été affectés, s'il est possible de récupérer des fonds et quelles restrictions de gouvernance seront mises en place pour empêcher qu'une attaque identique ne se reproduise sur d'autres protocoles DeFi avec des structures de vote similaires.
FAQ
Que s'est-il passé lors de l'exploit de gouvernance chez Term Labs ?
Le 23 août 2026, des attaquants ont exploité les autorisations de gouvernance de Term Vaults pour retirer environ 8,5 millions de dollars, y compris des jetons Ethereum et USDC.
L’exploit a-t-il compromis la blockchain Ethereum ou le protocole USDC ?
Non, l’attaque a affecté les autorisations de gouvernance interne du protocole Term Labs, sans compromettre la blockchain Ethereum ni le protocole USDC.
À quelle étape en est l’enquête sur l’exploit ?
Term Labs a confirmé l'exploit et a déclaré qu'il était engagé dans une enquête active, mais n'a pas encore publié d'analyse technique détaillée de l'incident.
Comment l’attaquant a-t-il initialement financé son attaque ?
Les fonds initiaux de l'attaquant ont été attribués à 2 ETH provenant de Tornado Cash, mais aucune autre preuve d'activité de blanchiment n'a été trouvée.
Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.
Voir l’article original en italien
