Term Finance, un protocolo de préstamos basado en Ethereum que opera mercados de préstamos a tasa fija y plazo fijo, perdió un estimado de $8.5 millones después de que un atacante adquirió poder de voto y lo utilizó para forzar una acción de gobernanza maliciosa. El exploit, informado el 24 de agosto de 2026, drenó fondos controlados por el protocolo en lugar de aprovechar una falla a nivel de código, convirtiendo a la propia gobernanza en el vector de ataque.

Cómo se desarrolló el exploit de Term Finance

El incidente afectó la infraestructura de préstamos de Ethereum de Term Finance, con la pérdida estimada en unos $8.5 millones en un ataque impulsado por la gobernanza. El detonante no fue una falla de reentrada ni una manipulación de oráculos, sino la compra de poder de voto por parte del atacante antes del exploit.

Al acumular suficiente peso de gobernanza, el atacante pudo influir en los permisos del protocolo que controla la gobernanza, informó CoinDesk. En las finanzas descentralizadas, eso convierte a la gobernanza en un vector de ataque: quien controla el voto puede, en principio, acceder a todo aquello a lo que el voto esté autorizado a llegar.

Por qué los ataques vinculados a la gobernanza elevan el riesgo del protocolo

La captura de la gobernanza difiere fundamentalmente de un error en un contrato inteligente. Un exploit de código abusa de una falla no intencionada en la lógica del contrato; un ataque de gobernanza usa el sistema de permisos previsto del protocolo exactamente como fue diseñado, después de que el atacante obtiene suficientes votos para dirigirlo.

La propia documentación de Term Finance describe la capa de gobernanza como el mecanismo que administra los parámetros del protocolo y las funciones privilegiadas, según la documentación de gobernanza del proyecto. Cuando el poder de voto puede comprarse en el mercado abierto y las acciones privilegiadas dependen de un simple voto, el riesgo de concentración se convierte en riesgo de solvencia.

Los protocolos suelen mitigar esto con timelocks entre la aprobación de un voto y su ejecución, requisitos de quórum y umbral de propuestas, guardianes multisig que pueden vetar o pausar, y ventanas de activación diferida que dan tiempo a la comunidad para reaccionar. Estas defensas se han convertido en práctica estándar en los principales protocolos DeFi tras incidentes anteriores relacionados con la gobernanza. El caso más citado es el de Beanstalk Farms, que perdió unos $182 millones en abril de 2022 cuando un atacante usó un flash loan —un préstamo sin colateral tomado y reembolsado dentro de una sola transacción— para comprar poder de voto y sacar adelante una propuesta hostil que se ejecutó de inmediato, sin demora de por medio. Los contratos de gobernanza de protocolos como Compound y Uniswap imponen retrasos de aproximadamente dos días entre un voto aprobado y su ejecución en cadena, precisamente para abrir esa ventana de detección. La pregunta relevante para los prestamistas es si los controles de Term Finance incluían un timelock lo bastante largo como para detener una propuesta hostil antes de que se movieran los fondos.

Qué observarán los usuarios y el protocolo a continuación

Para prestamistas y depositantes, la preocupación inmediata es la exposición: qué bóvedas o mercados fueron afectados, si las posiciones abiertas siguen siendo solventes y si el protocolo pausará las funciones privilegiadas mientras investiga y comunica los próximos pasos. Las actualizaciones públicas de Term Finance se están publicando a través de su canal oficial en X.

La respuesta probable es similar a la de otros incidentes de gobernanza: pausar los contratos afectados, endurecer los umbrales de propuestas o las duraciones del timelock, y volver a auditar qué funciones puede alcanzar la gobernanza. Esas medidas se han convertido en un manual familiar para los equipos de DeFi que responden a incidentes de seguridad, en línea con la forma en que otros proyectos —incluido The Sandbox, que dijo haber contenido un exploit de puente— han manejado eventos similares. La recuperación también puede ir más allá de los parches: Beanstalk finalmente relanzó tras una ronda de recaudación liderada por la comunidad, un precedente para reconstruir un protocolo tras un fracaso de gobernanza.

La transparencia posterior al incidente es la variable que más afecta la credibilidad del protocolo en este caso. Un desglose claro de la acumulación de voto por parte del atacante, la función exacta explotada y el cronograma de remediación importará más para la liquidez restante que la cifra titular de la pérdida en sí.