Term Finance pierde 8,5 millones de dólares tras la compra de votos de gobernanza por 2 ETH

Un atacante gastó cerca de 2 ETH para hacerse con 8,5 millones de dólares. El 23 de agosto, el responsable compró suficiente poder de voto como para tomar el control de varios "strategy vaults" de Term Finance, una plataforma de préstamos a tipo fijo, y vació aproximadamente 2.843 ETH (unos 6,87 millones de dólares) y 1,68 millones de USDC. El capital semilla de la operación procedía de Tornado Cash, el mezclador de Ethereum sancionado. Los fondos robados se enviaron íntegramente a una única cartera. Según el análisis, el atacante alcanzó el 100% del control de voto en cuatro de los cinco "strategy vaults" de USDC de Term Finance y alrededor del 91% en el Ethereum Meta Vault. Con una supermayoría, pudo redirigir los activos de las bóvedas a voluntad. Las bóvedas afectadas operan sobre la infraestructura Yearn V3 y utilizan un marco de gobernanza personalizado desarrollado por Term Labs, el equipo detrás de Term Finance. Las firmas de seguridad PeckShield y CertiK confirmaron el exploit y señalaron que el objetivo fueron las mecánicas de votación, no un fallo en el código base de los contratos inteligentes. La parte sustraída en USDC se convirtió después a DAI, un paso habitual tras un exploit para dificultar el rastreo y la inmovilización de activos, ya que DAI, a diferencia de USDC, no puede ser incluido en listas negras por un emisor centralizado como Circle. Se trata del segundo golpe relevante en poco más de un año. En mayo de 2025, el protocolo registró pérdidas de aproximadamente 1,5 millones de dólares por un error de oráculo durante una actualización del sistema; en ese caso, los fondos se recuperaron posteriormente. Term Labs ha reconocido la brecha y afirma que hay una investigación en marcha, sin aportar por ahora detalles sobre una posible recuperación del dinero ni sobre planes de remediación. El incidente reabre un problema recurrente en DeFi: cuando el poder de voto es demasiado barato o está demasiado concentrado, la gobernanza pasa de ser un mecanismo de seguridad a convertirse en un vector de ataque. Que con 2 ETH se pueda controlar bóvedas con millones en activos sugiere un desajuste extremo entre el coste de adquirir influencia y el valor que esa influencia permite mover. Beanstalk vivió algo similar en 2022, cuando un atacante utilizó un préstamo flash para aprobar una propuesta maliciosa y drenar alrededor de 182 millones de dólares. Cambia la mecánica, pero la vulnerabilidad es la misma: si se pueden reunir votos a bajo coste, el sistema queda expuesto. En el caso de Term Finance, la capa de gobernanza a medida habría carecido de salvaguardas suficientes para impedir que una acumulación rápida de votos se tradujera en control inmediato de fondos. Medidas como votaciones con "timelock", requisitos de quórum, límites a la delegación y anulaciones mediante multisig en las operaciones de las bóvedas suelen elevar de forma significativa el coste de este tipo de ataques.