Term Finance pierde 8,5 millones de dólares tras un ataque de gobernanza en bóvedas de Ethereum

Term Finance, una plataforma de préstamos en Ethereum, ha sufrido pérdidas estimadas en 8,5 millones de dólares después de que un atacante aparentara reunir suficiente poder de voto en la gobernanza para tomar el control de varias de sus bóvedas de lending, según informó CoinDesk. Según el análisis del incidente, el atacante retiró alrededor de 2.843 ether (unos 6,9 millones de dólares en ese momento) y 1,68 millones de USDC, lo que supuso vaciar cerca del 68% de los activos custodiados en las Meta Vaults de Term. De acuerdo con datos de DefiLlama, estas bóvedas albergaban unos 12,45 millones de dólares antes del ataque, y prácticamente se sustrajo todo el ether depositado en el producto. Term aseguró que el impacto se limitó a las Meta Vaults, construidas sobre su plataforma general de préstamos, y que el resto de mercados de borrowing y lending no se vieron afectados. El aspecto más llamativo es el modo de acceso. El servicio de monitorización onchain Defimon indicó que el atacante habría adquirido a bajo coste una mayoría del token de gobernanza del proyecto, con una distribución escasa, y que después utilizó ese poder de voto para aprobar propuestas que le otorgaban control sobre las bóvedas. Term no ha confirmado cómo se alcanzó esa mayoría ni qué funciones concretas de gobernanza se emplearon. El caso queda en una zona gris: aunque las transacciones serían válidas conforme al código del protocolo, las autoridades podrían considerar la conducta como explotación o apropiación indebida, y no como un uso ordinario de la gobernanza. Como respuesta, Term clausuró el producto de forma permanente, bloqueó nuevos depósitos y retiró los permisos de gobernanza que permitían modificar las bóvedas. La compañía señaló que trabaja con firmas externas de seguridad para recuperar activos y que evaluará fórmulas para cubrir las pérdidas que pudieran quedar. Yearn, cuya infraestructura V3 sustentaba estas bóvedas, afirmó que el ataque se apoyó en una capa de gobernanza personalizada añadida sobre su tecnología y que no afecta a las bóvedas estándar de Yearn. El episodio llega después de un error de oráculo en abril de 2025 que desencadenó liquidaciones no deseadas por unos 918 ETH, pérdidas que Term dijo haber recuperado en gran medida tras reembolsar a los usuarios afectados. Más de un año después, la gobernanza se perfila como el eslabón débil: los activos controlados por una votación pueden valer mucho más que los tokens necesarios para ganar esa votación. Para entender el funcionamiento de las estrategias de rentabilidad en DeFi, puede consultarse nuestro explicador anterior.