O ataque que retirou aproximadamente US$ 8,5 milhões dos vaults da Term Finance neste fim de semana não precisou explorar uma vulnerabilidade tradicional em um smart contract.
O atacante conseguiu algo diferente: poder suficiente dentro da própria estrutura de governança para fazer o sistema autorizar aquilo que queria executar.
A Term Finance confirmou que seus vaults foram atingidos por um exploit de governança. Empresas de segurança como PeckShield e CertiK estimaram as perdas em cerca de US$ 8,5 milhões, incluindo aproximadamente 2.843 ETH e 1,68 milhão de USDC. Antes do ataque, os vaults possuíam cerca de US$ 12,45 milhões em ativos.
O mecanismo utilizado torna o episódio particularmente interessante.
Os vaults possuíam uma estrutura criada justamente para distribuir controle. Liquidity providers participavam da governança e podiam vetar transações propostas durante um período de espera de sete dias, a proposta maliciosa atravessou esse processo.
Análises das transações indicam que ela permaneceu on-chain durante seis dias e foi executada segundos depois do encerramento da janela de votação sem receber os vetos necessários para impedi-la, isso expõe uma diferença importante entre distribuir direitos de governança e distribuir poder efetivo.
Uma DAO pode permitir que centenas de participantes interfiram em suas decisões. Se poucos realmente utilizam esse direito, controlar uma votação pode exigir muito menos influência do que a estrutura formal sugere.
Nesse momento, baixa participação deixa de ser apenas um problema de governança e passa a ser um problema de segurança.
Descentralização depende de alguém exercer o poder distribuído
A estrutura utilizada pela Term Finance possuía mecanismos destinados justamente a impedir decisões perigosas.
Nos Strategy Vaults, construídos sobre infraestrutura Yearn V3, funções operacionais eram separadas das funções de governança. Alterações propostas enfrentavam um período de espera de sete dias durante o qual liquidity providers poderiam votar para vetá-las.
Em teoria, isso criava tempo para identificar uma ação maliciosa, na prática, tempo só funciona como proteção quando alguém está olhando.
A proposta que antecedeu a retirada dos fundos permaneceu disponível on-chain sem ser interrompida.
O protocolo havia descentralizado a capacidade de dizer não, poucos participantes exerceram essa capacidade.
Esse problema não exige que um atacante controle necessariamente a maioria absoluta de todos os direitos existentes. Se grande parte deles permanece inativa, basta conquistar influência suficiente sobre o poder que efetivamente participa das decisões.
É justamente aí que a governança começa a adquirir uma dimensão econômica diferente.
O poder de uma DAO também possui um preço
Tokens e direitos de governança podem ser negociados.
Isso significa que existe, implicitamente, um custo para adquirir influência sobre determinadas decisões.
Normalmente, esse mecanismo alinha participação econômica e controle: quem possui exposição ao protocolo recebe alguma capacidade de interferir em seu funcionamento.
O risco aparece quando o custo necessário para conquistar influência relevante fica pequeno diante do valor que essa influência permite controlar.
Nesse cenário, surge uma diferença entre duas quantidades: de um lado, está o custo de adquirir poder, do outro, o valor sobre o qual esse poder permite decidir.
Quanto maior essa distância, maior pode ser o incentivo para capturar a governança.
Isso transforma a segurança econômica de uma DAO em algo diferente da segurança de seu código.
Um smart contract pode funcionar exatamente como foi programado e ainda executar uma decisão destrutiva se o mecanismo autorizado a tomar essa decisão tiver sido capturado.
No caso da Term Finance, o sistema não precisou aceitar uma transação que suas regras proibiam, o problema foi que a própria estrutura responsável por autorizar determinadas ações permitiu que uma proposta maliciosa atravessasse o processo.
Sete dias não protegem um protocolo se ninguém estiver olhando
O período de espera da Term Finance torna essa diferença particularmente clara.
Timelocks existem para impedir que decisões de governança sejam executadas imediatamente. Uma proposta perigosa pode ser identificada durante a espera e bloqueada antes de produzir consequências, mas um timelock não identifica nada sozinho, ele apenas cria uma janela para reação.
Isso significa que segurança de governança depende também de monitoramento, participação e incentivos para que alguém efetivamente utilize os mecanismos de proteção disponíveis.
É um problema mais difícil de resolver do que simplesmente aumentar o período de espera.
Protocolos podem exigir quóruns maiores, limitar determinadas permissões, automatizar alertas ou introduzir múltiplas etapas para decisões capazes de movimentar grandes quantidades de capital, cada mecanismo altera o equilíbrio entre segurança, eficiência e descentralização.
Quanto mais difícil uma decisão se torna, menos ágil pode ser a governança. Quanto mais poder emergencial é entregue a grupos específicos, mais centralizado pode se tornar o sistema.
O ataque à Term Finance não demonstra que governança descentralizada seja inviável, mostra que descentralização formal não garante segurança econômica.
DeFi passou anos construindo sistemas nos quais nenhum administrador deveria controlar sozinho os ativos e as decisões de um protocolo.
A Term Finance expôs o problema seguinte.
Quando esse poder é transformado em algo distribuído e negociável, a segurança também passa a depender de quanto custa acumulá-lo e de quantas pessoas estão dispostas a impedir que isso aconteça.
Descentralizar o poder foi apenas uma parte do problema. A outra é garantir que ele não se torne barato demais para capturar.
