El protocolo descentralizado de préstamo Term Finance perdió $8.5 millones debido a la explotación de un mecanismo de gobierno, sin que los contratos inteligentes hayan sido hackeados. El atacante aprovechó las particularidades del sistema de votación en las bóvedas Meta Vaults y extrajo fondos a través de una propuesta legítima que recibió apoyo gracias a una participación extremadamente baja de los poseedores de tokens. El equipo de desarrollo de Term Labs confirmó el incidente e informó sobre el cierre irreversible de todas las Meta Vaults con la revocación de los roles DAO, mientras que el protocolo base y los mercados de préstamo directo permanecieron inafectados.
Mecánica para tomar el control de la votación
El éxito del ataque fue posible debido a una discrepancia entre la participación económica y el derecho a voto en el ecosistema del protocolo. Al depositar fondos en una bóveda, los usuarios recibían un recibo token tmvETH que acreditaba su participación en el pool, pero este activo por sí solo no otorgaba el derecho a participar en la gobernanza. Para obtener un voto, el recibo debía convertirse por separado en un token especial de votación, gtmvETH, sin embargo, la mayoría de los depositarios ignoró este paso. El atacante depositó solo 0.5 $ETH, obtuvo 0.485 tmvETH y los envolvió en tokens de votación. Su participación real en el capital de la bóveda era solo del 0.017%, pero entre las papeletas emitidas, controlaba el 90.66% de los votos.
Las reglas de gobernanza también facilitaron la explotación. Cualquier usuario podía crear una propuesta incluso sin poseer votos, y para alcanzar el quórum solo se requería la participación del 5% de las papeletas emitidas. Para la aprobación, bastaba con una mayoría simple. Al ganar la votación, el atacante propuso desactivar el retraso de siete días para retiros, conectar su propio contrato y dirigir los activos de los depositarios hacia él. La propuesta, que contenía 17 acciones, estuvo disponible públicamente en la blockchain durante aproximadamente 145 horas. Durante casi seis días, el registro público contenía efectivamente un aviso sobre la próxima desactivación de los mecanismos de seguridad y la extracción de fondos, pero nadie aprovechó la posibilidad de vetar o impugnar la decisión.
Cronología de la extracción de fondos y reacción del equipo
La votación concluyó el 23 de agosto de 2026, y tan solo 12 segundos después de cerrarse el plazo, se ejecutó la función executeProposal. La primera acción de la propuesta anuló el retraso de siete días (timelock), lo que permitió retirar instantáneamente activos de las sub-bóvedas Shorewoods $ETH, August Digital $ETH, Parity Prime $ETH y Parity Core $ETH. Los fondos se dirigieron a través de una estrategia añadida específicamente llamada "Fixed Recipient WETH Exit Strategy" hacia la dirección del atacante. En total, se extrajeron 2,841 WETH. Posteriormente, se realizaron operaciones similares en cinco bóvedas de $USDC, de donde se extrajeron 1,679,639 monedas. Todos los fondos se consolidaron en una sola cartera.
Analistas de PeckShield estimaron el daño total en aproximadamente $8.5 millones, incluyendo alrededor de 2,843 $ETH (aproximadamente $6.87 millones) y 1.68 millones de $USDC, que posteriormente se intercambiaron por DAI. El financiamiento inicial del ataque se realizó a través de Tornado Cash: la cartera del atacante recibió 1 $ETH de este mezclador el 17 de agosto de 2026. Tras confirmar el incidente, el equipo de Term Labs declaró que todos los roles de gobierno DAO han sido revocados, y el cierre de las Meta Vaults es irreversible y bloquea nuevos depósitos. Sin embargo, los retiros para los usuarios permanecen habilitados. Los desarrolladores de la infraestructura Yearn V3, sobre la cual se construyeron las bóvedas, señalaron por separado que el vector de ataque se relaciona exclusivamente con la capa personalizada de Term y no afecta los productos estándar de Yearn.
Vulnerabilidades sistémicas de la gobernanza descentralizada
El incidente demuestra los riesgos críticos que surgen al combinar un bajo umbral de entrada en la gobernanza y la falta de actividad obligatoria por parte de los stakeholders. El quórum y los valores umbral permitían crear propuestas a prácticamente cualquier participante, y ante la pasividad de los poseedores de tokens LP, el control sobre las papeletas emitidas pasaba a una fracción mínima del capital. Mecanismos de seguridad como el retraso temporal y el derecho de veto resultaron ineficaces, ya que el atacante tenía la capacidad técnica de desactivar la protección desde dentro de la misma propuesta antes de su ejecución. Según datos del análisis on-chain, detalladamente estudiado por expertos, la propuesta estuvo disponible públicamente durante aproximadamente seis días, y el único voto fue emitido por el propio atacante.
Antes del incidente, el volumen total de fondos bloqueados (TVL) en las bóvedas de Term Finance era de aproximadamente $12.45 millones, de los cuales cerca de $8.8 millones correspondían a la red Ethereum. El monto extraído corresponde aproximadamente al 68% del TVL de este producto. La situación señala la necesidad de revisar la arquitectura de gobernanza en los protocolos DeFi, donde el derecho a voto esté automáticamente vinculado a la participación económica, y los parámetros de quórum y retrasos estén protegidos contra modificaciones dentro de propuestas ordinarias. El estado actual del protocolo supone el mantenimiento de la funcionalidad de los mercados de préstamo base junto con la parálisis total del segmento Meta Vaults.
El hackeo de Term Finance a través del mecanismo de votación reveló problemas fundamentales en el diseño de sistemas de gobierno con baja participación y derechos de voto separables. La extracción del 68% del TVL del producto a través de un procedimiento legítimo subraya que la corrección formal en la ejecución de contratos inteligentes no garantiza la seguridad de los activos cuando existen errores de diseño en la lógica de toma de decisiones.
Opinión de la IA
La situación demuestra el clásico problema del "quórum vacío", donde la actividad mínima es interpretada por el sistema como un consenso legítimo. Las estadísticas confirman que en diez años los hackers han robado más de $17 mil millones, siendo la principal causa de las pérdidas no la vulnerabilidad del código, sino el compromiso de claves y la lógica de gobierno. La arquitectura técnica de los protocolos a menudo permite modificar los parámetros de seguridad mediante el mismo mecanismo que debería proteger dichos parámetros.
La máquina ve aquí no un error de código, sino una consecuencia inevitable del diseño, donde el silencio de la mayoría equivale a consentimiento. ¿Deberían los sistemas descentralizados implementar restricciones constitucionales estrictas sobre la modificación de las reglas básicas de seguridad, incluso si esto contradice la idea de soberanía completa de la comunidad?
end-content
