Si la criptoeconomía de la semana pasada todavía estaba embriagada de la euforia de las “operaciones con devaluación de la moneda”, entonces este mensaje es esa cara fría y oscura que queda detrás de la fiesta. El 23 de agosto, el domingo, el protocolo de préstamos con tasa fija en Ethereum, Term Finance, sufrió un ataque de gobernanza: se sustrajeron alrededor de 8,5 millones de dólares de su bóveda de estrategia. Después, las firmas de seguridad PeckShield y CertiK calcularon que los atacantes se llevaron aproximadamente 2843 ETH; a los precios de entonces, eso equivalía a unos 6,9 millones de dólares, además de 1,68 millones de USDC. Luego convirtieron esos USDC en cerca de 1,68 millones de DAI. Casi dos tercios del valor bloqueado en la bóveda se evaporaron en una sola noche.
Lo más estremecedor de esto es que no se comprometió ningún contrato inteligente, ni falló una sola línea de código auditado. Lo que se perdió fue el propio mecanismo de gobernanza del protocolo.
El atacante no “rompió” nada; simplemente “compró las reglas”
Las bóvedas estratégicas de Term Finance se basan en la infraestructura Yearn V3; en esencia, son bóvedas tokenizadas ERC-4626 encargadas de asignar fondos entre el mercado de préstamos a tipo fijo de Term y el protocolo de préstamos a tipo variable. Tras lo ocurrido, desde Yearn respondieron que la vulnerabilidad estaba en la “capa de envoltura de gobernanza personalizada” que rodea a la bóveda, y que la bóveda estándar de Yearn no se vio afectada; los fondos depositados estaban a salvo.
El problema está precisamente en esa “capa de envoltura de gobernanza personalizada”. El diseño de la bóveda de Term establecía una arquitectura de gobernanza que separaba el “poder operativo” del “poder de supervisión de depósitos”: el rol de “gestor” se encargaba de la operación de subastas, mientras que el rol de “gobernante” manejaba los parámetros de riesgo, la configuración del protocolo y las funciones de emergencia. En teoría, los proveedores de liquidez de la bóveda, como miembros de la DAO, podían votar para vetar las transacciones de gobernanza en cola dentro de una ventana de bloqueo de 7 días; si el veto tenía éxito, la transacción quedaba invalidada antes de ejecutarse.
Pero estos mecanismos de protección no lograron detener el ataque. El análisis on-chain mostró que el atacante acumuló suficientes tokens de gobernanza de TERM, controló aproximadamente el 91% de los votos del Meta Vault de Ethereum y tomó el control total de cuatro bóvedas estratégicas de USDC. Luego presentó una propuesta maliciosa, instruyendo a las bóvedas a enviar los fondos a una sola dirección. En pocas palabras, el atacante no irrumpió en el sistema: compró, a un coste relativamente bajo, un poder de voto suficiente para reescribir las reglas. Ahí está lo más peligroso de los ataques de gobernanza: no requieren vulnerabilidades sofisticadas de código, solo encontrar el resquicio de una liquidez pobre de los tokens de gobernanza y una participación de voto insuficiente.
¿Cómo es que el bloqueo temporal de 7 días y el veto de LP fallaron?
Este incidente deja una duda que todavía hoy no tiene sentido: con un bloqueo temporal de 7 días más el mecanismo de veto de LP, en teoría ya existía la última barrera. Según dijo Term, el gobernante podía modificar el controlador del protocolo, el oráculo de precios y los límites de riesgo, y también podía pausar los depósitos o la actividad de estrategias; además, un veto exitoso de LP debería invalidar cualquier transacción en cola. Pero, ¿por qué estos mecanismos no lograron contenerlo?
Term Labs aún no ha revelado qué rol utilizó exactamente el atacante, ni ha explicado por qué el bloqueo temporal y el veto de LP no lograron impedir la ejecución. El análisis externo plantea, en líneas generales, dos hipótesis.
Una opinión es que los tokens de gobernanza están demasiado concentrados y la participación en las votaciones es demasiado baja. Cuando el atacante controla aproximadamente el 91% del poder de voto, ese “derecho de veto nominal” ya ha quedado inútil. Lo que realmente decide si una propuesta pasa ya no es la opinión de la mayoría de los LP, sino el número de votos que controla el atacante. El poder de voto es, en sí mismo, la munición de la gobernanza; cuando esa munición se monopoliza, por más estrictas que sean las reglas, todo no es más que un mecanismo que gira en vacío.
Otra interpretación es que el diseño de la gobernanza no separa con suficiente rigor el poder operativo del poder de supervisión. Aunque los roles de gestor y gobernante cumplen funciones distintas, una vez controlados por la misma fuerza, los contrapesos originales se convierten en un mero adorno. Term aún no ha publicado un análisis técnico posterior al incidente ni ha anunciado un plan de compensación, y desde fuera la expectativa de recuperar los fondos es naturalmente prudente. Además, el atacante financió la operación con antelación a través de Tornado Cash, lo que claramente demuestra que estaba preparado.
No es un caso aislado: la toma de control de la gobernanza se está volviendo más barata
Los ataques de toma de control de la gobernanza tienen una larga historia, y además se están volviendo cada vez más baratos. En 2022, Beanstalk perdió unos 182 millones de dólares en un ataque de gobernanza mediante un flash loan, convirtiéndose en un caso emblemático; en marzo de este año, un atacante gastó solo unos 1.800 dólares en comprar tokens para impulsar una propuesta que amenazaba 1,08 millones de dólares en activos de Moonwell. El coste de los ataques de gobernanza ya ha caído a un nivel inquietante.
En 2026, este tipo de incidentes ya se ha extendido más allá de Ethereum. En julio, BonkDAO en Solana perdió unos 20 millones de dólares cuando un atacante usó una propuesta maliciosa en el sistema Realms; en junio, el pequeño protocolo de Ethereum TOP perdió unos 1,6 millones de dólares cuando el atacante compró la mayor parte del suministro de tokens; y el Verus-Ethereum Bridge también fue robado dos veces en julio y mayo, con pérdidas de unos 7,54 millones y 11,58 millones de dólares, respectivamente.
Un informe de Blockaid que cubre la primera mitad de 2026 muestra que las pérdidas por robo y fraude de criptomonedas ya superan los 1.000 millones de dólares, con Ethereum representando la mayor parte, unos 332 millones de dólares, impulsadas principalmente por vulnerabilidades en contratos inteligentes y en la capa de aplicaciones. Este incidente de Term Finance no es más que otra línea añadida a la lista de “sangrado” del año.
La lección verdaderamente importante que deja este incidente
Creo que lo más digno de reflexión en el caso de Term Finance no es “otro protocolo fue robado”, sino que la seguridad de la gobernanza ya es tan importante como la seguridad de los contratos inteligentes. Antes todos tomaban “el contrato ha sido auditado” como una etiqueta de seguridad, pero los atacantes se están moviendo hacia una vía que no necesita romper el código, solo manipular las reglas. Para cualquier protocolo que tenga tokens de gobernanza, poder de voto y asignación de tesorería, “quién puede controlar la gobernanza” se está convirtiendo en una cuestión más urgente que “quién puede romper el contrato”.
Para los usuarios comunes, esto también deja una advertencia muy concreta: depositar dinero en una bóveda no significa “entregárselo al código”; también hay que mirar a quién le estás entregando la “gobernanza” de esos fondos. Las bóvedas cuyos tokens de gobernanza están muy concentrados, cuyos roles clave están en manos de unos pocos y cuya participación en las votaciones se mantiene baja durante mucho tiempo, incluso con auditorías de contrato muy estrictas, siguen expuestas al riesgo residual de una “toma de control de la gobernanza”. La seguridad de los fondos depende, en última instancia, de cuán distribuida y descentralizada esté la gobernanza, no de un informe de auditoría.
Al mismo tiempo, este incidente también ha dado una alerta a toda la industria: los bloqueos temporales, el veto de LP y la separación de funciones solo son diseños sobre el papel si no pueden funcionar de verdad en escenarios extremos de “monopolio del poder de voto”. La verdadera seguridad requiere que estos mecanismos conserven su capacidad de “frenado” incluso frente a una mayoría maliciosa. Y esa lección, muchos protocolos DeFi todavía no la han incorporado.
Advertencia de riesgo: este artículo es solo una recopilación informativa y notas de investigación personal, y no constituye asesoramiento de inversión. Los criptoactivos son altamente volátiles; decide por tu cuenta y asume tú mismo el riesgo.