El protocolo de préstamos descentralizado Term Labs se ha convertido en la última plataforma DeFi en sufrir un exploit, tras el cual un atacante retiró un total de 8,5 millones de dólares en ETH y DAI abusando de las reglas de gobernanza de las bóvedas del protocolo.

Term Labs es el creador de Term Finance, un protocolo de préstamos descentralizados para préstamos de ETH a tasa fija. El proyecto se propuso ofrecer tasas de préstamo más predecibles y destacó un equipo cuantitativo tradicional que incluía a exexpertos de Citibank y Morgan Stanley.

El equipo confirmó que el exploit afectó a algunas de sus bóvedas y añadió que el impacto real todavía se está evaluando.

We are aware of a governance exploit impacting Term vaults. We will share more details once it has been further investigated.

— Term Labs (@term_labs), August 23, 2026

Los datos iniciales muestran que el atacante no utilizó un exploit malicioso en el sentido convencional. En su lugar, se apoyó únicamente en su influencia de gobernanza, tal como lo contemplaba el protocolo.

Al 23 de agosto, Term Labs mantenía más de 25 millones de dólares en valor total bloqueado, según DefiLlama. El protocolo contaba con 3,92 millones de dólares en préstamos activos, además de una cantidad mayor de colateral en sus bóvedas. En total, las bóvedas de Term Finance mantenían 12,25 millones de dólares, según muestran los datos de DefiLlama, lo que significa que el incidente casi agotó por completo la capacidad de préstamo del protocolo.

El ataque contra Term Labs se produce apenas días después de otros exploits de alto perfil, incluidos Maya Protocol y un reciente ataque de emisión contra The Sandbox.

Cómo el atacante drenó los fondos de Term Labs

Los datos on-chain muestran que las billeteras del atacante fueron financiadas con 2 ETH provenientes de Tornado Cash, un servicio de mezcla de Ethereum que ha aparecido repetidamente en los rastros de financiación de exploits cripto anteriores. Este tipo de financiación inicial ha sido vinculada a exploits previos llevados a cabo por hackers de la DPRK.

El atacante controlaba cuatro de las cinco bóvedas drenadas en Term Labs simplemente por poseer el 100% del token de gobernanza.

Term Labs ofrecía bóvedas de préstamos similares a las de Morpho, donde cualquiera podía depositar fondos y recibir ingresos pasivos. Sin embargo, Term Labs también utilizaba Aragon como plataforma de gobernanza, uno de los frameworks de código abierto más longevos para construir y operar DAO, y los usuarios podían, de manera opcional, envolver sus depósitos de bóveda en tokens de gobernanza. Para obtener tokens de gobernanza, los usuarios debían tomar manualmente los tokens de participación recibidos de la bóveda y convertirlos en un token de gobernanza especial.

Al realizar este segundo paso, el atacante obtuvo una ventaja de gobernanza injusta y pudo usar esa influencia para drenar las bóvedas. Aunque los tokens de gobernanza que poseía valían solo unos pocos dólares, el atacante ejerció una influencia desproporcionada y trasladó todas las reservas de las bóvedas.

El atacante presentó una propuesta el 17 de agosto que contenía acciones ocultas que no eran inmediatamente visibles para los votantes. Los periodos de espera de este tipo funcionan como timelocks (bloqueos temporales), una salvaguarda común de las DAO diseñada para dar a los participantes tiempo de revisar y vetar los cambios pendientes antes de su ejecución. Tras transcurrir el periodo de espera de seis días, el atacante modificó los parámetros de las bóvedas de manera que se permitiera drenar fondos de cinco bóvedas de préstamos en USDC.

Tras mover los fondos, el explotador los estacionó en una única billetera conocida, que contiene 1,6 millones de dólares en DAI y alrededor de 6,9 millones de dólares en ETH. Los fondos aún no han sido mezclados ni movidos, a diferencia de otros exploits en los que la mezcla siguió al ataque dentro de la primera hora. Dado que la dirección es públicamente visible, la billetera puede ser monitoreada on-chain, y las firmas de analítica blockchain y los exchanges suelen marcar las direcciones vinculadas a fondos robados si se producen movimientos o intentos de depósito.

Por qué tienen éxito los ataques de gobernanza

Múltiples protocolos de Web3 han construido algún tipo de mecanismo de gobernanza, generalmente vinculado a la tenencia de tokens específicos. La presencia de ballenas, asignaciones de equipo o compradores agresivos implica que las reservas, las tesorerías de las DAO u otras bóvedas pueden ser atacadas y drenadas.

El precedente más conocido sigue siendo Beanstalk Farms, que perdió alrededor de 182 millones de dólares en abril de 2022, después de que un atacante utilizara un flash loan —préstamo sin colateral ejecutado dentro de una única transacción— para adquirir brevemente el poder de voto mayoritario y aprobar una propuesta en su beneficio. A diferencia del periodo de espera de seis días de Term, el mecanismo de propuestas de emergencia de Beanstalk ejecutó los cambios del atacante de inmediato.

Las DAO y las organizaciones de Web3 presentan tasas variables de propuestas, y no todas las propuestas son comprendidas por los usuarios comunes. Esto significa que una parte interesada puede proponer un resultado a su favor y lograr aprobarlo mediante la votación.