Las Strategy Vaults de Term en Ethereum fueron drenadas el 23 de agosto pese al timelock de siete días y al veto de los proveedores.
Las bóvedas Strategy Vaults de Term Finance perdieron cerca de 8,5 millones de dólares el domingo 23 de agosto. El atacante explotó el sistema de gobernanza del protocolo para mover ether y stablecoins, según estimaciones de las firmas de seguridad PeckShield y CertiK.
PeckShield calculó el botín en unos 2.843 ETH, valorados en unos 6,9 millones, más 1,68 millones en USDC que luego fueron canjeados por DAI. La firma rastreó los fondos hasta una sola dirección que había recibido 2 ETH desde el mezclador Tornado Cash (mixer que dificulta trazar el origen de los fondos). CertiK coincidió en el total aproximado de 8,5 millones.
El equipo de Term Labs confirmó el incidente en X. “Somos conscientes de un exploit de gobernanza que afecta a las bóvedas de Term”, escribió. El proyecto no confirmó el monto ni identificó qué bóvedas fueron tocadas y dijo que daría más detalles tras la investigación.
Antes del ataque, las bóvedas custodiaban unos 12,45 millones en valor total bloqueado (TVL, suma de activos depositados), con 8,8 millones en Ethereum, según DefiLlama. La pérdida representa cerca del 68% del TVL de ese producto en todas las redes y casi la totalidad de lo que había en Ethereum. El protocolo completo manejaba unos 25,8 millones de TVL y 3,79 millones en préstamos activos.
No es el primer golpe para Term. En abril de 2025, un oráculo mal configurado provocó liquidaciones erróneas en su mercado tETH por 1,6 millones. El equipo recuperó más de 1 millón y cubrió el resto con tesorería. Entonces afirmó que no hubo exploit de contratos y que los fondos de usuarios no fueron objetivo directo.
Yearn, cuya infraestructura V3 sirve de base a estas bóvedas, aclaró que el vector no afecta a sus vaults estándar. “El exploit ocurrió vía un wrapper de gobernanza personalizado”, señaló Yearn en X. Los fondos en vaults estándar de Yearn siguen a salvo, indicó.
¿Cómo fallaron el timelock y el veto de los proveedores de liquidez?
Las Strategy Vaults son bóvedas tokenizadas bajo el estándar ERC-4626 (norma para bóvedas que representan depósitos con tokens). Reparten capital entre los mercados de tasa fija de Term y protocolos de tasa variable, según la documentación del proyecto.
La gobernanza separa dos roles. El manager ejecuta subastas. El governor ajusta parámetros de riesgo, el controlador del protocolo, el oráculo de precios y funciones de emergencia como pausar depósitos. Las propuestas del governor entran en una cola con demora de siete días.
En esa ventana, los proveedores de liquidez participan como miembros de la DAO y pueden vetar la transacción. Si el veto prospera, la operación se invalida antes de ejecutarse. Ese diseño no frenó el ataque.
Term no detalló qué rol usó el atacante ni por qué el timelock y el veto no se activaron. Tampoco explicó si hubo acumulación previa de poder de voto o una falla en el contrato del wrapper. Las firmas de seguridad no publicaron aún un desglose técnico.
El patrón no es nuevo en DeFi (finanzas descentralizadas). En marzo, un atacante gastó unos 1.800 dólares en tokens para impulsar una propuesta que puso en riesgo 1,08 millones en Moonwell. Beanstalk perdió unos 182 millones en 2022 con un exploit de gobernanza apalancado con préstamos flash (préstamos que se piden y se devuelven en la misma transacción).
Para usuarios en América Latina, el caso importa porque las bóvedas de rendimiento en dólares suelen promocionarse como alternativa al ahorro bancario. Cuando el riesgo de gobernanza no está auditado o el poder de voto es barato, el TVL pequeño se vuelve objetivo rentable.
¿Qué queda del protocolo y qué sigue por aclarar?
La magnitud relativa agrava el impacto. Perder dos tercios del TVL deja a las Strategy Vaults casi vacías y erosiona la confianza para futuras captaciones. El TVL total de Term cayó de forma proporcional y los préstamos activos quedaron expuestos a revisión.
El equipo no anunció plan de reembolso ni pausa general del protocolo al cierre de esta nota. Tampoco identificó si los fondos fueron movidos a otro mezclador o a un exchange centralizado donde podrían congelarse. PeckShield solo confirmó el canje de USDC a DAI en la dirección del atacante.
La trazabilidad inicial aporta una pista. Los 2 ETH de Tornado Cash sugieren preparación para pagar gas sin dejar rastro en un exchange con KYC (verificación de identidad). No implica atribución.