Term Finance pierde unos 8,5 millones de dólares en un exploit de gobernanza de sus bóvedas

El protocolo de préstamos descentralizados Term Finance perdió unos 8,5 millones de dólares después de que un atacante explotara el control de gobernanza de sus bóvedas de estrategias, según empresas de seguridad blockchain. 

El domingo, PeckShield afirmó que el atacante drenó unos 2.843 Ether (ETH), valorados en 6,87 millones de dólares en ese momento, y 1,68 millones de USDC, que se intercambiaron por aproximadamente 1,68 millones de Dai (DAI). CertiK realizó una estimación similar estimación, situando la pérdida total en alrededor de 8,5 millones de dólares. 

La pérdida reportada representaba aproximadamente el 68% de los 12,45 millones de dólares mantenidos en el producto de bóvedas de Term antes del ataque, incluidos casi todos sus aproximadamente 8,8 millones de dólares en depósitos de Ethereum, según los datos de Defillama. 

Term Labs afirmó que había cerrado irreversiblemente todas las Meta Vaults de Term y revocado sus funciones de gobernanza de la DAO, impidiendo permanentemente nuevos depósitos mientras mantenía abiertas las retiradas. Basándose en su investigación hasta el momento, la empresa dijo que el protocolo subyacente de Term y sus mercados directos de préstamos y endeudamiento no se vieron afectados, aunque aún estaba verificando el alcance. 

Cointelegraph no pudo contactar con Term Labs para solicitar comentarios. La empresa no publica un contacto de prensa y sus mensajes directos en X estaban cerrados. 

El atacante supuestamente tomó el control mediante la gobernanza

El servicio de monitorización on-chain Defimon afirmó que el atacante adquirió de forma económica la mayoría de un token de gobernanza con una distribución muy limitada y aprobó propuestas que le permitieron tomar el control de las bóvedas de Term. Term no ha confirmado cómo obtuvo el atacante el control de los votos ni qué funciones de gobernanza se utilizaron. 

Los contratos de las bóvedas utilizan la infraestructura Yearn V3. Sin embargo, Yearn afirmó que el ataque involucró un wrapper de gobernanza personalizado y que el vector de ataque no se aplica a las configuraciones estándar de las bóvedas de Yearn. 

Relacionado: Zilliqa pide a los exchanges que pausen las transferencias de ZIL tras el presunto robo de una cartera fría

Term dijo que estaba coordinándose con equipos externos de seguridad para recuperar los activos y aplicar medidas correctivas. Añadió que “exploraría vías para abordar” cualquier déficit restante.

El incidente se produce después de un error del oráculo en abril de 2025 que desencadenó liquidaciones no intencionadas por unos 918 ETH. En ese momento, Term recuperó unos 556 ETH, redujo su pérdida final a 362 ETH y reembolsó a los usuarios afectados, según su informe posterior al incidente. Tras el incidente, Term se comprometió a contar con validación de terceros para las actualizaciones críticas y una mayor transparencia en la gobernanza. 

Revista: MiCA endurece las medidas contra USDT en Europa... pero a nadie más le importa