La plataforma de préstamos de Ethereum Term Finance ha perdido unos $8.5 millones después de que un atacante aparentemente adquiriera suficiente poder de voto de gobernanza para tomar control de algunas de sus bóvedas de préstamos, informó CoinDesk.
Cómo se desarrolló el exploit
El atacante retiró aproximadamente 2,843 ether, por un valor de unos $6.9 millones en ese momento, y 1.68 millones de USDC, drenando alrededor del 68% de los activos mantenidos en las Meta Vaults de Term. Las bóvedas contenían unos $12.45 millones antes del ataque, según datos de DefiLlama, y casi todo el ether depositado en el producto fue sustraído. Las Meta Vaults se asentaban sobre la plataforma de préstamos más amplia de Term, que según la compañía no se vio afectada por el incidente.
Un punto débil de gobernanza
El elemento inusual es cómo se obtuvo el acceso. El servicio de monitoreo onchain Defimon dijo que el atacante adquirió a bajo costo una mayoría del token de gobernanza del proyecto, escasamente distribuido, y luego supuestamente usó ese poder de voto para aprobar propuestas que le otorgaban control de las bóvedas. Term no ha confirmado cómo se obtuvo el control mayoritario ni exactamente qué funciones de gobernanza se utilizaron. El incidente se sitúa en una zona gris: si bien las transacciones eran válidas según el código del protocolo, las autoridades aún podrían tratar la conducta como un exploit o apropiación indebida en lugar de una gobernanza ordinaria.
Respuesta y perspectivas de Term
Term ha cerrado permanentemente el producto, bloqueado nuevos depósitos y eliminado los permisos de gobernanza que permitían cambios en las bóvedas. El equipo dijo que sus mercados de préstamos y empréstitos más amplios no se vieron afectados y que está trabajando con firmas de seguridad externas para recuperar los activos, y explorará formas de cubrir cualquier pérdida restante.
Yearn, cuya infraestructura V3 sustentaba las bóvedas, dijo que el exploit involucró una capa de gobernanza personalizada añadida alrededor de su tecnología y no se aplicaba a las bóvedas estándar de Yearn. El episodio también sigue a un error de oráculo en abril de 2025 que provocó aproximadamente 918 ETH de liquidaciones no intencionadas, que Term recuperó en gran medida después de reembolsar a los usuarios afectados. Poco más de un año después, la gobernanza misma se ha convertido en el punto débil, donde los activos controlados por un voto pueden valer mucho más que los tokens necesarios para ganar ese voto.
Para contexto sobre cómo funcionan las estrategias de rendimiento DeFi, consulte nuestro explicador anterior.
Lectura relacionada: Mantle Vault se expande hacia DeFi con Grove, CIAN y Fluxion.
