Se apoderó del voto de las bóvedas de Term Labs y se llevó 8.5 millones de dólares

Term Labs, la desarrolladora del protocolo de préstamos a tasa fija Term Finance, reconoció el 23 de agosto un exploit de gobernanza en sus bóvedas. La firma de seguridad CertiK cifró la pérdida total en cerca de 8.5 millones de dólares; PeckShield desglosó lo drenado en unos 2,843 ETH y 1.68 millones de USDC, que suman una cantidad parecida. Nadie rompió nada: el atacante acumuló suficientes votos y le ordenó al protocolo que le entregara el dinero. Según el reportaje, no falló ninguna línea de código auditado; cedió la capa de decisiones del mundo DeFi (finanzas descentralizadas, sin bancos de por medio).

El dato que resume el caso lo puso PeckShield: la firma de seguridad rastreó el capital inicial del atacante hasta apenas 2 ETH salidos de Tornado Cash, la herramienta que corta el rastro entre quien envía y quien recibe. Ese arranque mínimo habría bastado, según el reporte, para construir una posición de voto que llegó al 100% del poder de voto en cuatro de las cinco bóvedas de estrategia en USDC de Term Finance y a cerca de 91% de la Meta Vault de Ethereum, de acuerdo con reportes corroborados por CryptoBriefing. Con esa mayoría, el atacante votó por mandar los fondos a una sola dirección. La propia nota aclara que el paso por Tornado Cash no revela la identidad del atacante ni prueba un esquema de lavado más amplio: solo marca el punto de partida reportado del dinero.

Qué se llevó

PeckShield calculó aproximadamente 2,843 ETH —unos 6.87 millones de dólares al momento del hecho— y 1.68 millones de USDC, que más tarde se cambiaron por alrededor de 1.6 millones de DAI. CertiK, por su cuenta, ubicó la pérdida total en cerca de 8.5 millones de dólares —una cifra que cuadra con el desglose de PeckShield— y situó la cartera del atacante en la dirección 0xD5183d8BfC65a50863C62aF2538198A8288FFc13, que después aparecía con esos 2,843 ETH y los ~1.6 millones de DAI.

El golpe pegó en las Term Vaults, construidas sobre contratos de Yearn v3, no en la arquitectura central de préstamos tipo repo del protocolo. Según el reporte, la evidencia disponible no muestra que Ethereum ni USDC hayan sido comprometidos: lo que falló fue la capa de decisiones.

Lo que sigue

Term Labs dijo que el caso sigue bajo investigación y, según el reporte, todavía no publica un postmortem técnico ni ha detallado qué función de gobernanza, ruta de contrato o secuencia de permisos se usó para acumular los votos —tampoco la lista de bóvedas afectadas ni las direcciones de contrato involucradas. Tampoco ha confirmado si el contrato Governor que tenía planeado tuvo algo que ver: un documento de Kraken —anterior al ataque y que no lo menciona— describe a Term Finance como protocolo de préstamos no custodial sobre Ethereum desarrollado por Terminal 0 Ltd., que opera como Term Labs, y señalaba que el control del token de gobernanza TERM estaba programado para migrar tras el despliegue de ese contrato Governor.

No es la primera pérdida del protocolo. En mayo de 2025 se fueron unos 1.5 millones de dólares por un desajuste de decimales en un oráculo (la fuente de precios externa de un contrato) durante una actualización de rutina; fue un error interno, no malicioso, y los fondos se devolvieron. Esta vez el capital con el que se financió el atacante pasó por Tornado Cash antes de que empezara el ataque, lo que complica cualquier vía de recuperación.