24 de agosto de 2026
El Ingenio y la Inacción: la captura de gobernanza de Term Finance
El 23 de agosto de 2026, Term Finance sufrió lo que en la jerga se llama un “exploit”. Pero nada fue explotado: ningún contrato se rompió, ninguna auditoría falló, ninguna vulnerabilidad de código fue aprovechada. Lo que ocurrió fue más inquietante: las reglas del sistema se usaron exactamente como estaban escritas, con intención maliciosa. ~$8.5 millones salieron de los Term Meta Vaults — el 68% del TVL — y el atacante compró los “derechos de administrador” del protocolo por menos de lo que cuesta un café.
Este reporte es la anatomía completa del incidente, tal como quedó documentado on-chain.
Los números de un vistazo
| Dato | Valor |
|---|---|
| Pérdida total | ~$8.5M (68% del TVL de $12.45M) |
| Vector | Exploit de gobernanza (reglas “veto/opt-out” legítimas) |
| Vulnerabilidades de código | 0 — contratos operaron según diseño, auditorías intactas |
| Estado de respuesta | Term Meta Vaults clausurados; protocolo base 100% seguro, retiros habilitados |
El cambio de paradigma: anatomía de la amenaza
Los exploits clásicos dependen de bugs: reentrancy, manipulación de oráculos, transacciones atómicas en un solo bloque. Se detectan con auditorías de código y validación formal. El caso Term Finance rompe ese molde:
- Mecánica de ejecución: reglas legítimas de los contratos usadas con intención maliciosa.
- Ventana de visibilidad: la propuesta estuvo pública on-chain, visible e inactiva durante días — no fue un destello atómico.
- Línea de defensa crítica: la participación activa de la comunidad. Y esa defensa falló por apatía.
Takeaway: las auditorías de contratos inteligentes no ofrecen ninguna protección contra la apatía de los votantes en la gobernanza on-chain.
El eje del fallo: gobernanza “opt-out”
El diseño original estaba pensado para “curators” que necesitaban cambiar parámetros rápidamente. Su regla fundamental: la inacción equivale a la aprobación. Si nadie veta una propuesta en el plazo previsto, se ejecuta.
El defecto sistémico: los umbrales mínimos para proponer eran críticamente bajos — fracciones de centavo en los USDC vaults. El resultado matemático fue demoledor: ante la ausencia total de vetos, una posición de capital estadísticamente igual a $0.00 controló el 100% del poder de decisión en los vaults afectados.
Fase 1: Preparación e infiltración
- El fondeo: 2 ETH extraídos de Tornado Cash, divididos en 1 ETH por wallet operada por el atacante.
- Posicionamiento: ~0.5 ETH depositados en el ETH Meta Vault (apenas el 0.017% del supply de tmvETH) y depósitos minúsculos —de centavos— en los USDC vaults, logrando el 100% del poder de voto efectivo.
Fase 2: El cebo
La propuesta maliciosa se presentó con un estilo de veto negativo: “Vota SÍ para vetar el cambio. Si no hay votos, el cambio se ejecuta automáticamente.” Las propuestas permanecieron públicas on-chain durante varios días sin interrupción. 0.00% de participación: ningún usuario, curator o sistema de monitoreo vetó la transacción. Los LPs la ignoraron.
Fase 3: El timelock que se desactivó solo
La defensa teórica era un Zodiac Delay Module / Gnosis Safe con timelock de 7 días. El error fatal de arquitectura: el propio payload (el código ejecutable) tenía permisos para modificar su propio timelock. Con setTxCooldown(0) y setTxExpiration(0), el muro defensivo de 7 días se redujo instantáneamente a 0 segundos, permitiendo la ejecución atómica.
Fase 4: La extracción y evasión
Los fondos de los ETH Meta Vaults y USDC Vaults (Parity, RockawayX) se reasignaron por la fuerza y se drenaron hacia una wallet consolidada (0xd518...Fc13). Luego se convirtieron a DAI con un objetivo estratégico claro: evitar que Circle (emisor de USDC) pudiera ejecutar un congelamiento on-chain (freeze).
Síntesis del fallo: el modelo del queso suizo
Ninguna capa por sí sola era el agujero; todas se alinearon:
- Reglas de aprobación: gobernanza opt-out (inacción = aprobación automática).
- Umbral de entrada: requisito mínimo de LP-share de centavos de dólar.
- Defensa técnica vulnerada: timelock auto-desactivado por el propio payload.
- Falla humana/operativa: cero monitoreo activo durante los días de exposición pública.
Radiografía del impacto financiero
- ETH Meta Vault: ~$6.87M – $7.1M (2.843 ETH drenados).
- USDC Vaults: ~$1.68M en múltiples vaults afectados.
- El ataque consumió ~68% del TVL pre-ataque ($12.45M), concentrado casi en su totalidad en Ethereum.
- Cifras y rastreo on-chain verificados de forma independiente por PeckShield y CertiK.
Comprometido vs. seguro
- Zona comprometida: los Term Meta Vaults — bóvedas de estrategia avanzada sobre infraestructura customizada basada en Yearn V3. Yearn aclaró públicamente que el vector fue exclusivamente la capa de gobernanza personalizada de Term, NO los contratos estándar de sus vaults.
- Zona segura: el protocolo base de Term — mercados de lending/borrowing a tasa fija — totalmente intacto. No hubo contagio a la capa base de préstamos.
Contención de Term Labs
- Reconocimiento inmediato del governance exploit on-chain el mismo día.
- Cierre irreversible de los Term Meta Vaults afectados y revocación de roles de la DAO para bloquear cualquier depósito nuevo.
- Liquidez de usuarios: retiros explícitamente abiertos para rescatar fondos de bóvedas no afectadas.
- Mitigación activa: trabajo con firmas de seguridad externas y exploración de mecanismos de recuperación para cubrir el déficit de los usuarios afectados.
Daño colateral y estado actual (al 24 de agosto)
Los $8.5 millones permanecen inmóviles (“dormant”) en la wallet consolidada del atacante, a la espera del post-mortem técnico de Term Labs. Pero hubo efecto dominó: vaults de terceros que asignaban liquidez a las estrategias de Term resultaron expuestos. El caso destacado es Tori Finance (RockawayX), que reportó exposición directa y asumió públicamente la cobertura de las pérdidas para proteger a sus depositantes.
El patrón macro
Este marca el tercer gran ataque a DAOs registrado este año. El panorama de amenazas ha evolucionado: ya no hace falta romper código, hace falta leer las reglas mejor que sus propios dueños.
“No es un hackeo; es una captura legítima ejecutada según las reglas del sistema. En DeFi, si el diseño de gobernanza no requiere participación activa para proteger los fondos, la inacción se convierte en el vector de ataque más letal.”
Lecciones para gobernar soberanamente
La soberanía no es solo autocustodia de claves: es participación activa en las reglas que custodian tus fondos. Un sistema donde la inacción equivale a consentimiento es un sistema diseñado para ser capturado. Si algo de esto te suena, revisá con lupa qué pasa en tus DAOs cuando nadie mira: el atacante siempre cuenta con ello.