Term Finance perde 8,5 milhões de dólares num exploit massivo de governança

Um protocolo DeFi de empréstimo acaba de ser esvaziado em 8,5 milhões de dólares por um ataque que visou diretamente o seu sistema de governança. Apesar de salvaguardas teoricamente robustas, o exploit contornou a totalidade das proteções em vigor.

Term Finance junta-se a uma longa lista de protocolos vítimas de falhas de governança — uma categoria de ataques em franca expansão no ecossistema DeFi. Este tipo de exploit levanta questões fundamentais sobre a solidez dos mecanismos de controlo descentralizados.

Eis o que se sabe sobre o incidente, os seus mecanismos técnicos e o que revela sobre as vulnerabilidades estruturais da DeFi em 2025.

Um exploit de governança que contornou todos os bloqueios

Term Finance é um protocolo de empréstimo descentralizado que permite aos utilizadores depositar ativos em term vaults — cofres de duração fixa que geram rendimento. Para modificar os parâmetros desses vaults, o protocolo impõe normalmente um prazo de sete dias antes da execução de qualquer proposta de governança, acompanhado de um direito de veto concedido aos fornecedores de liquidez.

No papel, este duplo mecanismo — prazo obrigatório e veto dos LPs — constitui uma barreira sólida contra ataques oportunistas. Na prática, o atacante conseguiu explorar uma falha neste processo para drenar cerca de 8,5 milhões de dólares em fundos depositados pelos utilizadores. Os detalhes precisos do vetor de ataque ainda não foram inteiramente divulgados pela equipa, uma prática comum para evitar ataques copycat durante a investigação post-mortem.

Este tipo de exploit, denominado governance attack, consiste geralmente em manipular o processo de votação ou de execução das propostas para forçar a adoção de parâmetros maliciosos — como redirecionar fundos para um endereço controlado pelo atacante. A questão central permanece: por que razão o prazo de sete dias não foi suficiente para alertar a comunidade ou os guardiões do protocolo?

A governança DeFi: um vetor de ataque subestimado

Os exploits de governança representam uma das ameaças mais insidiosas do ecossistema descentralizado. Ao contrário dos ataques do tipo flash loan ou das falhas clássicas de smart contract, exploram as próprias regras do protocolo — o que os torna juridicamente e tecnicamente difíceis de classificar como simples hacks.

Existem precedentes notáveis: a Beanstalk Farms perdeu 182 milhões de dólares em abril de 2022 através de um exploit de governança que utilizou um flash loan para adquirir temporariamente uma maioria de votos. A Compound e a Tornado Cash sofreram igualmente tentativas semelhantes. Em cada caso, a velocidade de execução ou a engenharia social permitiram contornar os prazos de segurança.

No caso da Term Finance, o incidente coloca a nu uma realidade incómoda: um prazo de sete dias só é eficaz se existirem intervenientes vigilantes a monitorizar ativamente as propostas em curso. Sem um sistema de alertas automatizado robusto, sem uma comunidade suficientemente envolvida, ou se o ataque explorar uma etapa anterior à fase de prazo, esta salvaguarda torna-se meramente teórica. A DeFi precisa de repensar os seus modelos de segurança de governança — não basta acrescentar prazos; é necessário integrar mecanismos de monitorização on-chain em tempo real e sistemas de resposta de emergência capazes de agir antes que seja demasiado tarde.