Term Labs investiga una explotación de gobernanza que, según estiman las firmas de seguridad, drenó unos 8,5 millones de dólares de las bóvedas de Term Finance el 23 de agosto. El incidente ha desplazado la atención del código de los contratos inteligentes hacia los controles de gobernanza que protegen las bóvedas del protocolo y los activos que custodian.

Las firmas de seguridad rastrean los fondos del atacante

CertiK identificó una dirección controlada por el atacante que contenía unos 2.843 ETH y aproximadamente 1,6 millones de dólares en DAI tras la explotación. PeckShield estimó que el atacante extrajo 2.843 ETH —con un valor aproximado de 6,87 millones de dólares— junto con 1,68 millones de USDC del sistema afectado.

El USDC robado fue canjeado posteriormente por aproximadamente 1,68 millones de DAI, mientras que el ataque se financió inicialmente con 2 ETH procedentes de Tornado Cash, un servicio de mezcla diseñado para ocultar el rastro de los fondos en la cadena.

Term Labs Suffers $8.5M Governance Exploit Affecting Vaults

DeFi lending protocol @term_labs suffered a governance exploit affecting its vaults. According to PeckShieldAlert and CertiK Alert, the attack resulted in losses of about $8.5 million, with the exploiter holding… pic.twitter.com/yhAHbCN95d

— Wu Blockchain (@WuBlockchain), August 23, 2026 (X)

Term Labs confirmó que una explotación de gobernanza afectó sus bóvedas, pero el protocolo no había publicado un análisis completo al 23 de agosto. En consecuencia, la secuencia del ataque, las bóvedas específicas afectadas y el método utilizado para vulnerar las protecciones de gobernanza seguían sin confirmarse.

Los controles de gobernanza bajo escrutinio

El incidente se diferencia de una falla convencional de contrato inteligente porque los primeros informes de seguridad identifican la gobernanza —y no un defecto del código— como la aparente vía de acceso a los activos de las bóvedas. Esa distinción sitúa la estructura de control de Term Finance bajo examen mientras los investigadores trabajan para determinar cómo llegó el atacante a los fondos protegidos. Las pérdidas atribuidas a claves comprometidas o privilegios de gobernanza, y no a fallas en el código on-chain, han sido una categoría recurrente en los incidentes de seguridad de DeFi; la brecha de Radiant Capital de octubre de 2024, en la que atacantes drenaron unos 53 millones de dólares tras comprometer claves de firma de un multisig, es un ejemplo ampliamente reportado.

La documentación de Term asigna roles separados de manager y governor, con acciones de gobernanza que pasan por una Gnosis Safe —una billetera multisig de uso generalizado en DeFi— y un Zodiac Delay Module. Esas acciones están además sujetas a un timelock de siete días antes de su ejecución, lo que crea una ventana de revisión para los cambios propuestos. Los proveedores de liquidez de las bóvedas son descritos como participantes del DAO con autoridad para vetar propuestas durante ese plazo; según la documentación, un veto exitoso puede invalidar una transacción en cola antes de que se ejecute, añadiendo una capa adicional de protección.

Sin embargo, Term Labs no había confirmado si la influencia de voto, un problema de permisos, una falla de configuración u otra vía de gobernanza causó la brecha. En ausencia de un análisis posterior, la evidencia disponible no establece qué salvaguarda falló ni si los controles documentados operaron según lo diseñado.

El diseño de las bóvedas, el TVL y las preguntas sobre la recuperación siguen abiertas

Term Finance ofrece préstamos no custodiados, a tasa fija y sobregarantizados, modelados a partir de acuerdos de recompra tradicionales, y empareja prestatarios con prestamistas mediante subastas de oferta sellada. Los prestamistas reciben tokens repo que representan reclamaciones de capital e intereses al vencimiento, mientras que las Strategy Vaults automatizan la participación y la gestión de liquidez.

Las bóvedas están construidas sobre la implementación de ERC-4626 de Yearn V3, el estándar de Ethereum para bóvedas tokenizadas de un solo activo, junto con lógica personalizada que cubre subastas, límites de portafolio, reservas y controles de vencimiento. Según la evidencia disponible hasta la fecha, no se ha establecido ninguna vulnerabilidad en Yearn V3 ni en Ethereum; el escrutinio se mantiene centrado en la capa de permisos y gobernanza que rodea la implementación de las bóvedas de Term.

Antes de la explotación, DeFiLlama, un rastreador público de depósitos en protocolos DeFi, listaba las TermFinance Vaults con unos 10,87 millones de dólares en valor total bloqueado (TVL), incluyendo aproximadamente 7,23 millones de dólares en Ethereum. Esa cifra excluye el capital desplegado en tokens repo de Term para evitar el doble conteo, lo que hace poco fiable una comparación directa con la estimación de pérdida de 8,5 millones de dólares.

Al momento de la redacción, Term Labs no había anunciado un plan de recuperación ni un marco de reembolso, ni había confirmado las pérdidas totales de los usuarios. El protocolo tampoco había informado si los depósitos, retiros, funciones de gobernanza o bóvedas específicas habían sido pausados tras el incidente.

La billetera controlada por el atacante sigue siendo el foco de los esfuerzos de rastreo, aunque la financiación a través de Tornado Cash por sí sola no identifica al atacante. Para los depositantes, las próximas revelaciones deberán aclarar las transacciones maliciosas de gobernanza, los contratos afectados, el momento de las propuestas y la actividad del timelock. Esos detalles determinarán si el incidente involucró una captura de la gobernanza, permisos defectuosos u otra falla de implementación dentro de los controles de las bóvedas de Term Finance.