Le protocole de prêt décentralisé Term Finance a perdu 8,5 millions de dollars suite à l'exploitation d'un mécanisme de gouvernance, sans que les contrats intelligents aient été piratés. L'attaquant a profité des particularités du système de vote des Meta Vaults et a retiré les fonds via une proposition légitime ayant obtenu le soutien dû à une participation extrêmement faible des détenteurs de tokens. L'équipe de développement de Term Labs a confirmé l'incident et annoncé la fermeture irréversible de tous les Meta Vaults avec révocation des rôles DAO, le protocole de base et les marchés de prêt direct restant quant à eux intacts.
Mécanique de la prise de contrôle du vote
Le succès de l'attaque a été rendu possible par une inadéquation entre la participation économique et le droit de vote dans l'écosystème du protocole. En déposant des fonds dans un coffre, les utilisateurs recevaient un jeton de reçu tmvETH attestant de leur part dans le pool, mais cet actif ne conférait pas en lui-même le droit de participer à la gouvernance. Pour obtenir un droit de vote, le reçu devait être converti séparément en un jeton spécifique gtmvETH, ce que la majorité des déposants ont négligé de faire. Le malfaiteur a déposé seulement 0,5 $ETH, a obtenu 0,485 tmvETH et les a convertis en jetons votants. Sa part réelle dans le capital du coffre n'était que de 0,017 %, mais parmi les bulletins de vote émis, il contrôlait 90,66 % des voix.
Les règles de gouvernance ont également favorisé l'exploitation. N'importe quel utilisateur pouvait créer une proposition, même sans détenir de voix, et pour atteindre le quorum, il fallait la participation de seulement 5 % des bulletins émis. Une simple majorité suffisait pour prendre une décision. Ayant remporté le vote, l'attaquant a proposé de désactiver le délai de sept jours pour le retrait des fonds, de connecter son propre contrat et d'y transférer les actifs des déposants. La proposition, contenant 17 actions, est restée accessible publiquement dans la blockchain pendant environ 145 heures. Pendant près de six jours, un avis informant du désarmement imminent des mécanismes de sécurité et du retrait des fonds était en fait publié dans le registre public, mais personne n'a utilisé la possibilité d'y opposer son veto ou de contester la décision.
Chronologie du retrait des fonds et réaction de l'équipe
Le vote s'est terminé le 23 août 2026, et la fonction executeProposal a été exécutée seulement 12 secondes après la fermeture de la fenêtre. La première action de la proposition a été de ramener à zéro le délai de sept jours (timelock), permettant ainsi un retrait immédiat des actifs des sous-coffres Shorewoods $ETH, August Digital $ETH, Parity Prime $ETH et Parity Core $ETH. Les fonds ont été acheminés via une stratégie spécialement ajoutée, « Fixed Recipient WETH Exit Strategy », vers l'adresse du malfaiteur. Au total, 2 841 WETH ont été retirés. Par la suite, des opérations similaires ont eu lieu sur cinq coffres $USDC, d'où 1 679 639 pièces ont été extraites. Tous les fonds ont été consolidés sur un seul portefeuille.
Les analystes de PeckShield ont estimé le préjudice total à environ 8,5 millions de dollars, incluant environ 2 843 $ETH (environ 6,87 millions de dollars) et 1,68 million de $USDC, qui ont ensuite été échangés contre du DAI. Le financement initial de l'attaque a été effectué via Tornado Cash : le portefeuille de l'attaquant a reçu 1 $ETH de ce mélangeur le 17 août 2026. Après confirmation de l'incident, l'équipe de Term Labs a déclaré que tous les rôles de gouvernance DAO avaient été révoqués et que la fermeture des Meta Vaults était irréversible, bloquant ainsi les nouveaux dépôts. Cependant, les retraits restent ouverts pour les utilisateurs. Les développeurs de l'infrastructure Yearn V3, sur laquelle sont construits les coffres, ont souligné séparément que le vecteur d'attaque concernait exclusivement l'enveloppe personnalisée de Term et n'affectait pas les produits standards de Yearn.
Vulnérabilités systémiques de la gouvernance décentralisée
L'incident démontre les risques critiques qui surviennent lorsque l'on combine un faible seuil d'entrée dans la gouvernance et une absence d'activité obligatoire de la part des parties prenantes. Le quorum et les valeurs seuils permettaient à presque n'importe quel participant de créer des propositions, et en cas de passivité des détenteurs de jetons LP, le contrôle des bulletins émis revenait à une part minime du capital. Les mécanismes de sécurité, comme le délai d'attente et le droit de veto, se sont révélés inefficaces, car l'attaquant avait la capacité technique de désactiver la protection depuis l'intérieur même de la proposition avant son exécution. Selon les données de l'analyse on-chain, examinées en détail par des experts, la proposition est restée en accès libre pendant environ six jours, et le seul vote a été émis par l'attaquant lui-même.
Avant l'incident, le total des fonds verrouillés (TVL) dans les coffres de Term Finance s'élevait à environ 12,45 millions de dollars, dont environ 8,8 millions de dollars sur le réseau Ethereum. Le montant retiré correspond à approximativement 68 % du TVL de ce produit. La situation indique la nécessité de revoir l'architecture de gouvernance dans les protocoles DeFi, où le droit de vote est automatiquement lié à la participation économique, et où les paramètres de quorum et de délais sont protégés contre toute modification dans le cadre de propositions ordinaires. L'état actuel du protocole prévoit le maintien de la fonctionnalité des marchés de prêt de base et l'arrêt complet du segment Meta Vaults.
Le piratage de Term Finance via le mécanisme de vote a mis en lumière des problèmes fondamentaux de conception des systèmes de gouvernance avec une faible participation des membres et des droits de vote dissociables. Le retrait de 68 % du TVL du produit via une procédure légitime souligne que la correction formelle de l'exécution des contrats intelligents ne garantit pas la sécurité des actifs en présence d'erreurs de conception dans la logique de prise de décision.
L'avis de l'IA
La situation illustre le problème classique du "quorum vide", où une activité minimale est interprétée par le système comme un consensus légitime. Les statistiques confirment qu'en dix ans, les pirates ont dérobé plus de 17 milliards de dollars, et la principale cause des pertes n'a pas été une vulnérabilité du code, mais la compromission des clés et de la logique de gouvernance. L'architecture technique des protocoles permet souvent de modifier les paramètres de sécurité avec le même mécanisme qui est censé les protéger.
La machine voit ici non pas une erreur de code, mais une conséquence inévitable d'une conception où le silence de la majorité est assimilé à un consentement. Les systèmes décentralisés devraient-ils mettre en place des restrictions constitutionnelles strictes sur la modification des règles de sécurité fondamentales, même si cela va à l'encontre de l'idée de souveraineté totale de la communauté ?
