Un ataque al gobierno de Term Finance vacía 8,5 millones de dólares de bóvedas en Ethereum

Term Finance, protocolo de préstamos basado en Ethereum, sufrió una pérdida cercana a 8,5 millones de dólares tras un ataque dirigido a su sistema de gobernanza personalizado para bóvedas. Los atacantes lograron retirar Ether, USDC y DAI desde las "Strategy Vaults" del proyecto. Term Labs comunicó en X que el incidente afectó a las bóvedas de Term y que el equipo abrió una investigación interna. Aun así, no confirmó oficialmente el importe sustraído ni precisó qué Strategy Vaults registraron retiradas no autorizadas. Según estimaciones de PeckShield, el atacante extrajo 2.843 ETH (aproximadamente 6,9 millones de dólares) y 1,68 millones de USDC. PeckShield añadió que esos USDC se intercambiaron por unos 1,68 millones de DAI. Por su parte, CertiK situó la pérdida total en torno a 8,5 millones de dólares tras revisar las transacciones en cadena. PeckShield indicó que los activos se rastrearon hasta la dirección e vlojiz, que habría recibido inicialmente 2 ETH procedentes de Tornado Cash. El vector de ataque no habría estado en la infraestructura estándar de Yearn, sino en una capa de gobernanza adaptada por Term alrededor de sus bóvedas. Las Strategy Vaults siguen el estándar ERC4626 y se construyen sobre la arquitectura Yearn V3. Yearn afirmó en X que esta modalidad no afecta a las bóvedas que operan bajo sus configuraciones estándar. Term distribuye el control operativo y la supervisión de los depositantes mediante distintos roles: un "manager" gestiona las subastas y un "governor" define parámetros de riesgo, funciones de emergencia y ajustes generales del protocolo. Además, los proveedores de liquidez participan como miembros de la DAO y pueden vetar transacciones de gobernanza durante un timelock de siete días. La compañía no ha aclarado qué rol fue comprometido ni por qué fallaron esas salvaguardas. Antes del incidente, el producto de bóvedas de Term concentraba unos 12,45 millones de dólares en las redes soportadas, de acuerdo con datos de DefiLlama. Aproximadamente 8,8 millones correspondían a bóvedas desplegadas en Ethereum. Con esas cifras, la pérdida reportada equivale a cerca del 68% del valor total bloqueado del producto de bóvedas en todas las redes. El golpe llega tras otro episodio reciente: en abril de 2025, Term registró una pérdida separada de 1,6 millones de dólares cuando un oráculo mal configurado activó liquidaciones erróneas. El protocolo recuperó más de 1 millón y se comprometió a usar recursos de tesorería para cubrir el resto. Los ataques de gobernanza siguen siendo un riesgo recurrente en DeFi, al permitir la manipulación de mecanismos de voto o la obtención de permisos administrativos. La investigación de Term deberá determinar cómo el atacante obtuvo acceso a la gobernanza y cómo evitó las protecciones previstas para los depositantes.