Una lección aprendida de Term Finance en relación con 8,5 millones de dólares

El 23 de agosto, desaparecieron 2.843 ETH y 1,68 millones de USDC de las bóvedas de Term Finance. La pérdida total asciende aproximadamente a 8,5 millones de dólares. Curiosamente, esta vez no hubo ni una vulnerabilidad de contrato inteligente ni un ataque de préstamo flash. El atacante tomó directamente el control de la votación de gobernanza del protocolo.

¿Cómo funcionó el ataque?

En un incidente confirmado por CertiK y PeckShield, el atacante obtuvo el control total de la votación en cuatro de las cinco bóvedas de estrategia de USDC; en Ethereum Meta Vault, alcanzó aproximadamente el 91 % del poder. Con semejante mayoría, solo quedaba una cosa por hacer: aprobar una votación para desviar los fondos a su propia cartera. Y eso fue exactamente lo que hizo el atacante.

El punto realmente llamativo está en el comienzo. Toda esta operación comenzó con apenas 2 ETH de capital inicial procedentes de Tornado Cash. A partir de esta pequeña cantidad, el atacante logró acumular un poder de voto que controlaba depósitos de usuarios por valor de millones de dólares. Los USDC robados pronto se convirtieron en aproximadamente 1,6 millones de DAI y se consolidaron en una única dirección de cartera (que comienza por 0xD5183).

¿Por qué es importante?

Hay algo que considerar: a diferencia de los ataques de gobernanza, las vulnerabilidades de reentrancia o los errores de código, esto no requiere ninguna experiencia técnica. Se infiltra silenciosamente en contratos aparentemente impecables y auditados. Aunque los protocolos generalmente reducen la seguridad a la auditoría del código, el propio mecanismo de votación puede convertirse en una superficie de ataque, y esta es una amenaza para la que la industria no está bien preparada.

El equipo de Term Labs confirmó el incidente y enfatizó específicamente que no se trató de una vulnerabilidad de contrato inteligente. La empresa tiene otro incidente en su historial: en mayo de 2025, se produjo una pérdida de aproximadamente 1,5 millones de dólares debido a un error decimal en el oráculo durante una actualización rutinaria, pero aquello no fue malicioso y los fondos se recuperaron posteriormente. Esta vez, la historia es completamente distinta; un actor externo atacó deliberadamente el mecanismo democrático que los protocolos utilizan para gestionar su tesorería y sus estrategias.

Un aprendizaje para los usuarios de DeFi

Este incidente añade otra brecha de seguridad al panorama de DeFi en agosto. El mensaje es claro: por muy sólidos que sean los contratos inteligentes de un protocolo, la distribución y concentración de la votación de los tokens de gobernanza son un factor de riesgo tan crítico como el propio código. Cualquier estructura en la que sea posible acumular un poder de voto significativo con poco capital sigue siendo vulnerable a un ataque similar.

Hay una conclusión práctica para cualquiera que mantenga criptoactivos en protocolos DeFi: debe evaluar sus fondos no solo en función de los informes de auditoría de los contratos inteligentes, sino también de cuán susceptible es la estructura de gobernanza del protocolo a la centralización. Reconsiderar su cartera y sus riesgos teniendo esto en cuenta podría ser el paso más sensato de esta semana.