Term Labs Recouvre Ses Prêts Fixes Après L’Attaque De 8,5 M$

Huit millions et demi de dollars ont quitté des coffres en quelques minutes. Puis, deux jours plus tard, une dernière position à taux fixe a basculé hors de portée de l’attaquant. Entre ces deux instants, Term Labs a vécu ce que beaucoup de protocoles DeFi redoutent sans oser le dire à voix haute : une prise de contrôle démocratique, propre, votée, exécutée. Pas un bug de calcul. Pas une faille d’audit oubliée dans une ligne de Solidity. Une série de propositions de gouvernance, financées à bas coût, qui ont coupé les délais de sécurité avant d’aspirer l’ETH et l’USDC liquides des stratégies.

Le 3 septembre 2026, le protocole a publié un compte rendu technique plus complet que ses premières communications d’août. Il y affirme que toutes les positions de prêt à taux fixe détenues dans les vaults touchés ont été récupérées, la dernière à 14 h 52 UTC le 25 août. Les Meta Vaults et les stratégies concernées restent arrêtés. Les marchés de prêt et d’emprunt directs, eux, n’ont jamais cessé de fonctionner. Cette distinction, presque administrative au premier regard, est le cœur de l’affaire : l’attaque n’a pas brisé le moteur de prêt. Elle a capturé l’enveloppe qui contenait de la liquidité prête à l’emploi.

Ce Que L’Incident Dit Vraiment Sur La Gouvernance On-Chain

On aime raconter la DeFi comme un monde où le code est la loi. L’épisode Term Labs rappelle une vérité plus sèche. Quand la loi est un vote, le code n’est qu’un greffier. Si le greffier obéit à une proposition malveillante adoptée selon les règles, il exécute. C’est précisément ce qui s’est produit autour du 23 août.

Les firmes de sécurité avaient déjà estimé le préjudice autour de 8,5 millions de dollars, dont environ 2 843 ETH et 1,68 million d’USDC, ces derniers ayant ensuite été échangés contre un volume comparable de DAI. Term Labs, de son côté, insiste désormais sur un périmètre plus étroit : seules les balances liquides à l’intérieur des vaults ont été drainées. Les contrats V1 et V2 du système de prêt à taux fixe n’auraient pas été compromis. Les fonctions d’approvisionnement, de remboursement et de liquidation ont continué de tourner.

Une Chronologie Qui Ressemble À Un Plan De Campagne

L’attaque n’a pas commencé le jour du drain. Elle a commencé par de l’argent qui sort d’un mixeur. Le 17 août, un premier portefeuille opérateur reçoit des fonds via Tornado Cash. Vingt-quatre minutes plus tard, ce même portefeuille dépose une proposition ETH au titre volontairement rassurant : voter oui pour opposer un veto aux changements de paramètres proposés par le curateur. Dans le paquet, une modification décisive : ramener le Delay de gouvernance de la pile concernée à zéro. Term Labs explique que ce geste a supprimé une fenêtre supplémentaire de sept jours et une heure pendant laquelle les fournisseurs de liquidité auraient pu bloquer l’exécution.

Le 18 août, un second opérateur est financé de la même manière. L’après-midi, un contrat singleton est déployé. Il concentre trois rôles dans une seule pièce : un contrôleur, un adaptateur de prix et un jeton de repo contrefait. Un contrat d’aide est ensuite initialisé à partir de ce singleton. Trois jours plus tard, le 21 août, l’aide soumet sept propositions de gouvernance et vote seule dessus. Deux visent des DAO de stratégies ETH et ne seront jamais exécutées. Les cinq autres forment le bras USDC de l’opération.

Chacune de ces cinq propositions réduit à son tour le délai de gouvernance à zéro. Cette fois, la fenêtre supprimée est de trois jours et une heure. On voit le motif : avant de voler, on désarme l’alarme. Le 23 août à 06 h 25 UTC, la première proposition réussie s’exécute. Quatre stratégies ETH actives — Shorewoods, August Digital, Parity Prime et Parity Core — sont rappelées dans le Meta Vault via update_debt() puis dirigées vers une stratégie nouvellement ajoutée, baptisée frWETH-EXIT, présentée comme une stratégie de sortie WETH à destinataire fixe. Une fois le WETH entré, la stratégie le transfère intégralement au premier opérateur dans le même appel. Le Meta Vault se retrouve avec 2 841,74 parts d’une stratégie qui ne contient plus le WETH transféré. Le chiffre colle presque aux 2 843 ETH retracés au départ.

Vingt-deux minutes plus tard, à 06 h 47 UTC, la campagne USDC frappe cinq DAO de stratégies : Parity Prime, Parity Core, Parity HY, Parity HY v2 et RockawayX Tori. Chaque proposition fait vendre par la DAO une unité d’un jeton de repo fictif à un prix égal à la totalité de l’USDC liquide de la stratégie. Le contrat installé, nommé fmTERT, imite à la fois le contrôleur qui dit si un instrument est légitime et l’adaptateur qui dit combien il vaut. Les propositions mettent le ratio de réserve à zéro et portent la limite de concentration au maximum autorisé. Plus rien n’empêche la transaction du faux jeton.

Le jeton contrefait est ensuite valorisé par une fonction dynamique redemptionValue(). Au moment de l’exécution, cette fonction renvoie précisément le montant d’USDC liquide disponible. Une seule unité se vend donc contre presque tout le solde utile. Les propositions approuvent ensuite les produits et les balayent vers le second opérateur. C’est propre. C’est mécanique. C’est, d’un point de vue procédural, une série d’actes de gouvernance.

Pourquoi Les Positions À Taux Fixe N’Ont Pas Été Avalées

Ici commence la partie que Term Labs met en avant comme une victoire opérationnelle. Les prêts à taux fixe détenus par les vaults touchés n’étaient pas accessibles par le chemin de l’attaque. Ils n’étaient pas de l’ETH ou de l’USDC assis dans une stratégie prête à être rappelée. C’étaient des créances dont le dénouement était calendarisé. Le danger n’était pas immédiat. Il était différé.

À l’échéance, ces positions devaient se racheter dans les mêmes vaults déjà capturés. Autrement dit, même si l’attaquant n’avait pas pu les saisir le 23 août, il aurait pu recevoir leur produit plus tard, comme on attend un chèque à une adresse déjà cambriolée. L’équipe a donc mis à niveau les contrats concernés et déplacé les positions avant maturité. Toutes ont été récupérées. La dernière l’a été le 25 août à 14 h 52 UTC.

Les marchés de prêt et d’emprunt directs ont continué d’opérer pendant toute la durée de l’incident. L’attaque s’est limitée aux soldes liquides détenus dans les vaults Term.

Compte rendu technique de Term Labs, septembre 2026

Cette phrase mérite d’être lue deux fois. Elle dit que l’architecture en couches a, en partie, fonctionné. Le noyau de prêt n’était pas le même objet que l’enveloppe de stratégies. Elle dit aussi que la confiance des déposants ne se joue plus seulement sur l’audit du contrat principal. Elle se joue sur tout ce qui gravit autour : wrappers de gouvernance, adaptateurs de prix, droits de curateur, délais, ratios de réserve, limites de concentration. Un protocole peut avoir un cœur sain et une peau poreuse.

Le Prix Dérisoire Du Pouvoir De Vote

Une revue de la prise de contrôle a estimé qu’environ 951 dollars avaient suffi à acquérir assez de jetons de gouvernance pour peser sur des votes liés à des vaults contenant des millions. Ce chiffre devrait circuler plus longtemps que le montant volé. Il résume une asymétrie devenue banale dans certains DAO de stratégies : le droit de décider vaut beaucoup moins que l’encours qu’il administre.

On peut le formuler autrement. Si le coût d’achat du quorum est inférieur à la liquidité extractible, le système invite l’attaque. Pas par malveillance originelle des fondateurs. Par arithmétique. Un attaquant rationnel n’a pas besoin de casser une primitive cryptographique. Il a besoin d’un marché de jetons peu profond, d’un délai compressible et d’un chemin d’exécution qui transforme un vote en transfert.

Le même mois, un schéma voisin a frappé StrongBlock : prise de gouvernance, puis drainage d’environ 72 000 dollars en jetons STRONG et STRNGR. L’attaquant a obtenu assez de pouvoir pour faire passer une proposition donnant un contrôle administratif sur le contrat Governor. Le montant n’est pas comparable. La logique l’est. Plus tôt encore, YAM Finance avait illustré, à une autre échelle, que la gouvernance elle-même peut devenir le vecteur de risque. Ces dossiers ne se ressemblent pas terme à terme. Ils partagent une leçon : le vote n’est pas un ornement communautaire. C’est une surface d’attaque.

Le Rôle Sous-Estimé Des Délais D’Exécution

Les délais de gouvernance sont souvent présentés comme une contrainte d’expérience utilisateur. Ils ralentissent les mises à jour. Ils irritent les équipes produit. Ils donnent l’impression d’un protocole qui hésite. L’affaire Term inverse le jugement. Le délai n’est pas un luxe. C’est le seul moment où un humain, un curateur, un LP ou une plateforme peut encore dire non.

Quelques jours avant l’attaque contre Term Finance, Binance a déclaré avoir stoppé une proposition DAO malveillante qui menaçait environ 1,2 million de dollars d’un projet non nommé. Il restait moins de 48 heures avant exécution lorsque l’échange a contacté l’équipe, laquelle a rejeté la proposition sans perte publique. La comparaison est utile précisément parce qu’elle n’est pas flatteuse pour Term : là où un délai encore vivant a permis une intervention, les propositions malveillantes de Term ont d’abord tué le délai, puis pris les actifs.

Sur la jambe ETH, sept jours et une heure ont disparu. Sur la jambe USDC, trois jours et une heure. Ces fenêtres n’étaient pas décoratives. Elles étaient le temps social du protocole : le temps de lire, de discuter, de retirer, de veto. Les réduire à zéro par un vote que presque personne n’a contesté, voilà le geste inaugural. Le vol n’est que la conséquence.

On entend souvent que la transparence de la chaîne suffit. Tout le monde peut voir la proposition. Tout le monde peut voter. Dans la pratique, presque personne ne surveille en continu les DAO de stratégies satellites. Les titres de propositions peuvent sembler défensifs. « Voter oui pour opposer un veto » sonne comme une protection. C’est un classique de l’ingénierie sociale appliquée à la gouvernance : emprunter le langage de la prudence pour accélérer la prise de contrôle.

Vaults, Wrappers Et La Confusion Yearn

Après les premières heures, une clarification a circulé du côté de Yearn. Les contrats touchés s’appuyaient sur une infrastructure Yearn V3, mais l’attaque impliquait un wrapper de gouvernance développé pour Term, et non les vaults Yearn V3 standard. Cette phrase évite un amalgame commode. Elle n’exonère personne. Elle dit que la composabilité, cette vertu cardinale de la DeFi, fabrique aussi des zones grises de responsabilité.

Un utilisateur dépose dans un Meta Vault. Le Meta Vault alloue à des stratégies. Les stratégies parlent à des DAO. Les DAO parlent à des contrôleurs et à des adaptateurs de prix. Quelque part dans cette chaîne, un contrat peut prétendre qu’un jeton de repo est authentique et qu’il vaut exactement le cash disponible. Si cette prétention est acceptée par gouvernance, le reste n’est plus qu’un transfert.

Term Labs a révoqué les rôles de gouvernance DAO des Meta Vaults, interdit définitivement les nouveaux dépôts et laissé les retraits ouverts. Les stratégies touchées restent hors service. Un travail d’arrêt se poursuit sur des vaults à faible activité. C’est la phase la moins spectaculaire et peut-être la plus importante : transformer un périmètre vivant en périmètre mort, pour qu’aucune proposition future ne retrouve une prise.

Ce Que Les Utilisateurs De Prêts Fixes Doivent Retenir

Le produit phare de Term n’est pas un vault spéculatif. C’est un marché de taux fixe. On y vient pour la prévisibilité : emprunter ou prêter à un taux connu, pendant une durée connue. L’attaque n’a pas invalidé cette promesse sur le cœur du protocole, selon l’équipe. Elle a montré que la promesse peut être entourée d’une plomberie plus risquée que le produit lui-même.

Pour un prêteur, trois questions deviennent plus urgentes que le taux affiché. Où dort la liquidité en attendant le matching ? Qui peut changer les paramètres de cette salle d’attente ? Combien de temps reste-t-il entre le vote et l’exécution ? Si la réponse à la troisième question peut être ramenée à zéro par un quorum bon marché, le taux fixe n’est plus qu’une affiche.

Pour un emprunteur, le risque est différent. Les fonctions de liquidation ont continué. Les marchés directs n’ont pas fermé. Mais la confiance dans un protocole se contagie. Un exploit de vault, même isolé, change le comportement des liquidités, les primes de risque, parfois les oracles de perception plus encore que les oracles de prix. On ne mesure pas cela en USDC. On le mesure en dépôts qui ne reviennent pas.

Le Faux Jeton Comme Arme Élégante

Il faut s’arrêter sur le détail du repo contrefait. Ce n’est pas un simple airdrop de jeton sans valeur. C’est une pièce conçue pour parler la langue du système. Elle se présente comme un instrument Term. Elle se fait évaluer par un adaptateur complice. Elle demande à être achetée à un prix qui n’est pas un prix de marché, mais un instantané du cash disponible. En un mot, elle transforme la comptabilité interne de la stratégie en un distributeur automatique.

La fonction redemptionValue() est ici le personnage central. Une valorisation statique aurait pu laisser un reliquat. Une valorisation dynamique calée sur le solde liquide permet de tout prendre, ou presque, en une unité. C’est une idée d’attaquant qui a lu les invariants du protocole mieux que beaucoup de déposants. Elle rappelle que les adaptateurs de prix ne sont pas de simples tuyaux. Ce sont des oracles de légitimité.

Quand un système accepte qu’un contrôleur et un prix soient mis à jour par gouvernance rapide, il accepte qu’on redéfinisse ce qu’est un actif admissible. À partir de là, le vol n’a plus besoin d’une faille de réentrance classique. Il a besoin d’une définition.

Enquête, Mixeurs Et Limites De La Traçabilité

Term Labs indique travailler avec des autorités et des cabinets de cybersécurité, et avoir transmis des éléments utiles. Les deux opérateurs ont été alimentés via Tornado Cash. Cela ne clôt rien. Cela ouvre le dossier habituel des mixeurs : une couche d’obscurcissement, pas une disparition magique de toute trace, surtout lorsque le reste de la chaîne d’actions — déploiements, votes, appels de stratégies — reste public.

La récupération des positions à taux fixe ne doit pas être confondue avec une récupération des 8,5 millions drainés. Ce sont deux histoires. L’une est une mise à l’abri de créances qui allaient échoir au mauvais endroit. L’autre est un vol de liquidités déjà parties vers des portefeuilles opérateurs. Tant que ces fonds ne reviennent pas, le bilan utilisateur des vaults touchés reste celui d’une perte sur la poche liquide.

Les protocoles aiment parler de « confinement ». Le mot est juste sur le plan technique s’il décrit un périmètre de contrats. Il est trompeur s’il laisse croire que le préjudice social est contenu. Un déposant qui voyait un Meta Vault comme une simple enveloppe de stratégies Yearn-like a découvert qu’il finançait aussi une politique. Cette découverte-là ne se rollback pas.

Gouvernance Bon Marché, Trésor Cher

Le secteur a passé des années à multiplier les DAO. Certaines gouvernent un token cosmétique. D’autres gouvernent des paramètres qui ouvrent des coffres. Le problème naît quand on applique le même rituel démocratique aux deux. Un forum, un snapshot, un délai, un exécuteur. Sur un paramètre cosmétique, l’échec est une mauvaise blague. Sur un adaptateur de prix, l’échec est un camion de liquidités.

Plusieurs pistes circulent depuis longtemps, sans être devenues la norme. Quorums indexés sur la valeur administrée plutôt que sur un stock fixe de jetons. Délais incompressibles pour toute modification de contrôleur, d’oracle ou de ratio de réserve. Listes blanches d’instruments que la gouvernance ne peut pas élargir en une seule proposition. Séparation stricte entre le droit de proposer une stratégie et le droit d’en changer le prix. Rien de tout cela n’est romantique. Tout cela est de la plomberie.

Il existe aussi une piste plus politique : admettre que certains modules ne devraient pas être gouvernés par un token peu liquide. Un conseil de sécurité avec multisig tardif n’est pas très « decentralized theatre ». Il a pourtant arrêté plus d’une hémorragie. L’idéal du code-loi bute ici sur une contrainte empirique : les électeurs ne lisent pas sept propositions techniques un vendredi soir, surtout lorsque le titre parle d’un veto protecteur.

Une Leçon Pour Toute La Pile Des Taux

Les marchés de taux on-chain veulent copier, en plus granulaire, ce que la finance traditionnelle fait avec des livres d’ordres, des chambres de compensation et des dépositaires. Ils y ajoutent la promesse de tout voir. Term Labs se situe dans cette course : offrir un taux connu, pas seulement un taux variable qui danse avec l’utilisation d’un pool. Pour tenir cette promesse, il faut des stratégies, des courtiers de rendement, des enveloppes. Ces enveloppes deviennent des cibles.

Le paradoxe est cruel. Plus un protocole de taux réussit à attirer des curateurs et des stratégies tierces, plus il enrichit sa surface de gouvernance. Chaque partenaire est une compétence. Chaque partenaire est aussi un nouveau DAO, un nouveau délai, un nouveau contrôleur. L’attaque de Term n’est pas l’histoire d’un seul contrat mal écrit. C’est l’histoire d’un écosystème de stratégies assez riche pour valoir 8,5 millions de liquidités, et assez fragmenté pour qu’un quorum de 951 dollars suffise à parler fort.

Les noms des stratégies ciblées — Shorewoods, August Digital, Parity Prime, Parity Core, Parity HY, Parity HY v2, RockawayX Tori — dressent le portrait d’un marché déjà institutionnalisé dans son vocabulaire. Ce n’est plus seulement de la DeFi de garage. C’est une chaîne d’allocation. Quand une telle chaîne se fait gouverner comme un forum, l’écart culturel éclate.

Ce Que Change, Et Ce Que Ne Change Pas, La Récupération Du 25 Août

La récupération des positions à taux fixe est une bonne nouvelle opérationnelle. Elle évite un second accident, celui de l’échéance qui verse l’argent dans un coffre déjà pris. Elle montre qu’une équipe peut encore agir après coup, par upgrade et migration, lorsque le droit de le faire existe encore hors du périmètre capturé. Elle ne lave pas le 23 août.

Les Meta Vaults restent fermés. Les dépôts nouveaux sont morts. Les retraits restent possibles. Des vaults secondaires sont encore en cours d’extinction. C’est le langage d’un protocole qui accepte de rétrécir pour survivre. Dans un marché où la croissance des TVL sert souvent de preuve sociale, rétrécir est un aveu. C’est aussi, parfois, de l’hygiène.

Les utilisateurs feront leur propre comptabilité. Ceux qui n’avaient que des positions à taux fixe dans le périmètre déplacé pourront parler de soulagement. Ceux dont la poche liquide était dans les stratégies rappelées parleront d’autre chose. Un incident unique produit rarement un récit unique. Il produit des classes de victimes.

Lire Les Propositions Comme On Lit Un Contrat

Si l’on devait extraire une habitude concrète de ce dossier, ce serait celle-ci : cesser de lire les titres. Lire les diffs. Un titre qui parle de veto, de protection, de paramètres du curateur, peut contenir une ligne qui met le Delay à zéro et une autre qui installe un contrôleur inconnu. L’attaque a réussi parce que le processus a traité ces lignes comme de la routine.

Les LP n’ont pas tous les outils pour auditer un singleton qui fusionne contrôleur, prix et faux repo. Ils ont en revanche le droit de traiter tout raccourcissement de délai comme un événement rouge, quel que soit le reste du texte. Un protocole sérieux devrait même rendre cette classe de changement impossible sans un second mécanisme, plus lent, plus visible, plus cher à capturer.

Il faudra aussi se demander si les votes à un seul votant, sur des propositions qui administrent des millions, devraient simplement être valides. La légalité on-chain n’est pas la sagesse. Un système peut exécuter parfaitement une décision stupide ou hostile. C’est même sa définition.

Après L’Éclat, Le Travail Gris

Les heures qui suivent un exploit sont faites pour les fils d’alerte et les estimations en millions. Les semaines qui suivent sont faites pour les migrations, les rôles révoqués, les stratégies éteintes, les dossiers transmis. Term Labs est maintenant dans cette seconde phase. Elle est moins photogénique. Elle décide pourtant si le protocole reste un marché de taux ou devient une note de bas de page dans la liste des DAO pris par leur propre bulletin de vote.

On peut retenir le 25 août comme la date où la dernière créance à taux fixe a été tirée hors de la zone compromise. On peut retenir le 23 août comme la date où quatre stratégies ETH et cinq stratégies USDC ont appris qu’un vote pouvait se transformer en virement. Entre les deux, il n’y a pas de magie. Il y a une équipe qui a encore les clés de certains contrats, et une leçon que le reste de la DeFi feindra peut-être d’avoir déjà apprise.

La leçon n’est pas que la gouvernance est inutile. C’est que la gouvernance sans friction, sans prix, sans délai incompressible, n’est pas de la démocratie de protocole. C’est une serrure dont on a publié le plan et bradé les clés. Term Labs a sauvé ses positions fixes. Il reste à voir si l’industrie sauvera l’idée même qu’un coffre puisse être gouverné à bon marché.