Un atacante compró una participación de control en un token de gobernanza de una DAO por menos de $1,000, aprobó propuestas maliciosas y drenó $8.5 millones de las bóvedas de estrategia. El exploit expone una vulnerabilidad que la mayoría de los protocolos DeFi no han parcheado.
Resumen
- Un atacante gastó aproximadamente $951 para adquirir una participación de control en los tokens de gobernanza de Term Labs, luego aprobó propuestas que drenaron aproximadamente $8.5 millones de las bóvedas de estrategia del protocolo el 23 de agosto de 2026.
- Los activos robados incluyeron 2,843 ETH (aproximadamente $6.87 millones) y 1.68 millones de USDC, luego intercambiados por aproximadamente 1.6 millones de DAI, con el financiamiento inicial del atacante rastreado a solo 2 ETH obtenidos a través de Tornado Cash.
- El exploit no involucró un error de contrato inteligente ni una falla de codificación. Cada transacción fue una acción de gobernanza permitida ejecutada por la dirección que el protocolo reconocía como su gobernador legítimo.
- Term Labs cerró permanentemente todos los depósitos de Meta Vault y revocó los roles de gobernanza de la DAO en respuesta, mientras mantenía abiertos los retiros para los depositantes existentes.
- El ataque es el quinto exploit de gobernanza de 2026 según DefiLlama, elevando el total combinado del año a $25.1 millones, liderado por un drenaje de $20 millones del tesoro de BonkDAO en julio.
Las matemáticas son la historia. Un atacante gastó $951 en tokens de gobernanza para un protocolo que tenía $12.45 millones en fondos de depositantes. Esos $951 compraron suficiente poder de voto para controlar cuatro bóvedas de estrategia USDC y aproximadamente el 91% de la Meta Vault de Ethereum. El atacante presentó propuestas para mover los fondos, votó sobre esas propuestas con los tokens recién comprados, y observó cómo las bóvedas transferían $8.5 millones a una billetera sembrada con 2 ETH de Tornado Cash.
Cada paso fue legal desde la perspectiva del protocolo. Los contratos de gobernanza funcionaron exactamente como fueron diseñados. Las propuestas se presentaron correctamente, los votos se contaron con precisión, y las transferencias de las bóvedas se ejecutaron exactamente como lo instruyó el sistema de gobernanza. El problema no fue que el código se rompiera. El problema fue que el código hizo lo que le dijo alguien que gastó menos de $1,000 para convertirse en su máxima autoridad.
Term Labs confirmó el exploit en X el 23 de agosto de 2026. Las firmas de seguridad PeckShield y CertiK verificaron de forma independiente el incidente y rastrearon los fondos robados hasta la dirección del atacante 0xD5183d8BfC65a50863C62aF2538198A8288FFc13. El bot de monitoreo en cadena del protocolo, Defimon de Decurity, marcó las transacciones inusuales primero.
Esto no fue un ataque novedoso. Fue el quinto exploit de gobernanza de 2026 y el segundo en siete semanas. El patrón se repite porque la vulnerabilidad es estructural, y la mayoría de los protocolos DeFi no lo han abordado.
Cómo funcionó el ataque, paso a paso
Term Finance opera préstamos a tasa fija a través de subastas en cadena. La infraestructura principal de préstamos, donde los prestatarios y prestamistas se emparejan mediante subastas de oferta sellada, no se vio afectada por el exploit. El ataque se dirigió a una capa separada: las Meta Vaults y las bóvedas de estrategia que Term Labs construyó sobre la infraestructura de Yearn V3 para automatizar estrategias de rendimiento para los depositantes.
Estas bóvedas incorporaron una capa de gobernanza personalizada desarrollada por Term Labs. Los titulares de tokens de gobernanza podían presentar y votar propuestas que dirigían cómo se desplegaban los fondos de las bóvedas. El mecanismo de gobernanza fue diseñado para dar a la comunidad control sobre la asignación de estrategias, una característica que muchos protocolos DeFi incluyen como medida de descentralización.
El atacante explotó la escasa liquidez del token de gobernanza. Con una capitalización de mercado total baja y un volumen de negociación mínimo, adquirir una participación mayoritaria requirió solo un desembolso de capital modesto. La cifra de $951, identificada por analistas en cadena, representa el costo total de comprar suficientes tokens para controlar el voto.
Una vez adquiridos los tokens, el atacante presentó propuestas a las cuatro bóvedas de estrategia USDC y a la Meta Vault de Ethereum. Las propuestas indicaban a las bóvedas transferir sus tenencias a la billetera del atacante. Debido a que el atacante poseía la mayoría de los tokens de gobernanza, las propuestas se aprobaron sin oposición. Los contratos de las bóvedas, funcionando según lo diseñado, ejecutaron las transferencias.
Toda la secuencia, desde la compra de tokens hasta la extracción de fondos, no requirió ninguna explotación técnica en el sentido tradicional. No hubo ataque de reentrada, ni manipulación de oráculos, ni préstamo flash. El sistema de gobernanza simplemente procesó instrucciones válidas de su autoridad reconocida. El atacante se convirtió en esa autoridad por $951.
El precedente de BonkDAO
Siete semanas antes del exploit de Term Labs, BonkDAO sufrió un ataque similar a mayor escala. El 6 de julio de 2026, un atacante compró aproximadamente $4 millones en tokens BONK en intercambios durante varios días, acumuló una participación dominante del poder de voto y presentó una propuesta al tesoro de la DAO basada en Solana.
La propuesta transfirió 4,43 billones de tokens BONK, la mayor parte del tesoro, a una billetera controlada por el atacante. Cuando se cerró la votación, las direcciones vinculadas al atacante representaron el 99,878% de los votos emitidos. Solo siete direcciones participaron en la votación. La propuesta se aprobó y aproximadamente $20 millones en BONK fueron drenados del tesoro.
El ataque a BonkDAO fue más costoso de ejecutar ($4 millones vs. $951 para Term Labs) porque los tokens BONK tenían mayor liquidez y una mayor capitalización de mercado. Pero la mecánica fue idéntica: adquirir poder de voto, presentar una propuesta maliciosa y dejar que el sistema de gobernanza hiciera el resto. Los intercambios Upbit y Kraken pausaron los depósitos y retiros de BONK después del incidente, y BonkDAO coordinó con la Fundación Solana y las autoridades, aunque las perspectivas de recuperación se describieron como limitadas.
Los dos ataques comparten una vulnerabilidad estructural que ninguno de los protocolos había mitigado: la ausencia de salvaguardas entre la aprobación de una votación de gobernanza y la ejecución de la transacción resultante. En ambos casos, no había bloqueo de tiempo, ni requisito de múltiples firmas, ni mecanismo de revisión secundario que pudiera pausar la ejecución el tiempo suficiente para que la comunidad lo notara y respondiera.
Yearn V3 y la distinción de infraestructura
Yearn Finance se movió rápidamente para aclarar su papel después del exploit de Term Labs. Los productos afectados fueron las Meta Vaults y las bóvedas de estrategia de Term, que operaban en la infraestructura de Yearn V3 pero incorporaban un envoltorio de gobernanza personalizado desarrollado por Term Labs. Yearn declaró que la vulnerabilidad se originó en la capa de gobernanza adicional de Term, no en ningún problema con los diseños estándar de las bóvedas de Yearn.
Esta distinción es importante para el ecosistema DeFi en general. Las bóvedas de Yearn V3 son utilizadas por docenas de protocolos para la automatización de rendimientos. Si la vulnerabilidad hubiera estado en el código central de Yearn, las implicaciones se habrían extendido mucho más allá de Term Labs. El hecho de que estuviera aislada en la capa de gobernanza personalizada de Term limita el radio de explosión pero no disminuye la lección.
La lección es que la componibilidad corta en ambos sentidos. La modularidad de DeFi permite a los desarrolladores construir capas personalizadas sobre la infraestructura establecida, combinando la mecánica de las bóvedas de Yearn con las subastas de préstamos de Term y un sistema de gobernanza que da a los titulares de tokens el control. Cada capa funciona correctamente de forma aislada. La vulnerabilidad surge en la intersección, en el envoltorio de gobernanza que conecta los fondos de los depositantes con una votación que se puede ganar por $951.
Los diseños estándar de las bóvedas de Yearn incluyen medidas de protección que la capa de gobernanza de Term eludió. Las bóvedas estándar de Yearn utilizan multisigs de estrategas y direcciones de guardianes que pueden revocar estrategias de emergencia. La capa personalizada de Term reemplazó estas protecciones con gobernanza ponderada por tokens, intercambiando seguridad por descentralización en un contexto donde la descentralización era ilusoria porque el token de gobernanza no tenía una distribución significativa.
Por qué la gobernanza débil es la vulnerabilidad no parcheada de DeFi
El término "ataque de gobernanza" ha entrado en el léxico de DeFi principalmente en 2026. DefiLlama ha clasificado cinco incidentes como ataques de gobernanza este año, totalizando $25.1 millones en pérdidas. La categoría apenas existía antes de 2025 porque los tokens de gobernanza eran demasiado caros de acumular (haciendo que los ataques no fueran rentables) o demasiado centralizados (con equipos fundadores que retenían suficientes tokens para bloquear propuestas maliciosas).
La ola actual de ataques explota una condición de mercado específica: protocolos cuyos tokens de gobernanza han perdido la mayor parte de su valor mientras que los propios protocolos aún mantienen fondos significativos de los depositantes. El token de gobernanza de Term Labs se negociaba escasamente con una capitalización de mercado mínima, pero sus bóvedas contenían $12.45 millones. La gobernanza de BonkDAO se realizaba a través de un token que había caído significativamente desde su pico, pero el tesoro aún mantenía $20 millones en activos.
La relación entre la capitalización de mercado del token de gobernanza y los fondos controlados por el protocolo es la métrica clave. Cuando el costo de adquirir el 51% de los tokens de gobernanza es menor que el valor de los activos que esos tokens controlan, el protocolo es matemáticamente vulnerable a un ataque de gobernanza. Esto no es un error. Es una propiedad emergente de la votación ponderada por tokens en mercados donde los precios de los tokens fluctúan independientemente del uso del protocolo.
La mayoría de los protocolos DeFi no monitorean esta relación. Las estructuras de gobernanza se diseñan típicamente durante la fase de lanzamiento cuando los precios de los tokens son altos y la relación favorece la seguridad. A medida que los precios de los tokens declinan a través de los ciclos de mercado, la relación se invierte, y los protocolos que eran económicamente seguros en el lanzamiento se vuelven vulnerables sin ningún cambio de código o actualización de gobernanza.
Las defensas que existen pero no se utilizaron
Varios mecanismos bien conocidos podrían haber prevenido o mitigado el exploit de Term Labs. Los bloqueos de tiempo, que imponen un retraso entre la aprobación de una propuesta de gobernanza y la ejecución de la transacción resultante, son los más básicos. Un bloqueo de tiempo de 24 o 48 horas habría dado a la comunidad y al equipo de Term Labs tiempo para notar la propuesta maliciosa, movilizar votos de oposición o invocar procedimientos de apagado de emergencia.
Los requisitos de múltiples firmas para transacciones de alto valor proporcionan una segunda capa de defensa. Bajo este modelo, las propuestas de gobernanza que mueven fondos por encima de un cierto umbral requieren la aprobación de múltiples firmantes independientes además del voto de tokens. Tanto el ataque a BonkDAO como el exploit de Term Labs involucraron propuestas que movieron la mayoría de los fondos del tesoro en una sola transacción, una acción que una verificación de múltiples firmas habría señalado.
Los requisitos de quórum son una tercera opción. Ambos ataques tuvieron éxito con una participación de votantes extremadamente baja. La votación de BonkDAO involucró siete direcciones. Si el sistema de gobernanza requiriera un porcentaje mínimo del suministro total de tokens para participar antes de que un voto pudiera considerarse válido, adquirir una participación de control se volvería proporcionalmente más caro.
La votación por convicción, un modelo utilizado por protocolos como Gardens y 1Hive, reemplaza los períodos de votación discretos con la agregación continua de señales. Bajo la votación por convicción, los tokens deben ser apostados durante un período sostenido antes de que su peso de voto alcance su fuerza completa. Un atacante que compra tokens y vota inmediatamente tendría una influencia insignificante. Este modelo aborda directamente el patrón de compra y voto en el que se basaron tanto el exploit de Term Labs como el de BonkDAO.
El hecho de que estos mecanismos estén bien documentados, ampliamente discutidos y disponibles como implementaciones de código abierto hace que su ausencia en los protocolos explotados sea más difícil de excusar. Term Labs eligió implementar una capa de gobernanza personalizada sin incluir ninguno de ellos. El resultado fue un sistema que confiaba incondicionalmente en los titulares de tokens de gobernanza mientras que hacía trivialmente barato convertirse en uno.
La respuesta y lo que viene después
Term Labs respondió al exploit cerrando permanentemente todos los depósitos de Meta Vault y revocando los roles de gobernanza del DAO. Los retiros permanecieron abiertos para los depositantes existentes, permitiéndoles recuperar los fondos que el atacante no tomó. Hasta el 24 de agosto, no se había anunciado ninguna propuesta de recuperación, compromiso de reembolso o fecha límite para una autopsia.
La infraestructura principal de préstamos del protocolo, el sistema de subasta de tasa fija, no se vio afectada. Los prestatarios y prestamistas que utilizan los mercados de subastas de Term continuaron operando con normalidad. La explotación se limitó a la capa de bóveda, que funcionaba como un producto separado construido sobre el protocolo principal de préstamos.
Para el ecosistema DeFi en general, la explotación de Term Labs añade urgencia a una conversación que el ataque de BonkDAO inició pero no resolvió. Los ataques de gobernanza no son aleatorios. Apuntan a una debilidad estructural específica, la liquidez delgada del token de gobernanza en relación con los activos controlados por el protocolo, que está presente en cientos de protocolos DeFi. Los $25.1 millones en pérdidas por ataques de gobernanza en 2026 representan solo los incidentes que ya han ocurrido. El número de protocolos que actualmente son vulnerables al mismo vector de ataque es casi con certeza mayor.
La ola de explotaciones de agosto de 2026 se extiende más allá de los ataques de gobernanza. Las pérdidas totales de DeFi para el mes superaron los $27 millones, incluyendo la vulnerabilidad del puente de Sandbox y la explotación de autorización de BounceBit que llevó a un cierre completo de la cadena. Cada incidente involucró una superficie de ataque diferente, pero comparten un tema común: la brecha entre el valor asegurado por la infraestructura DeFi y las medidas de seguridad que lo protegen continúa ampliándose.
Qué observar
- Publicación de la autopsia de Term Labs: los detalles técnicos de cómo se ejecutó la toma de control de gobernanza y qué salvaguardas planea implementar el equipo para futuros productos.
- Herramientas de monitoreo de la proporción de gobernanza: si las plataformas de análisis comienzan a rastrear la proporción entre la capitalización de mercado del token de gobernanza y los activos controlados por el protocolo como una métrica de vulnerabilidad.
- Adopción de bloqueos de tiempo en DeFi: si las explotaciones de Term Labs y BonkDAO aceleran la implementación de bloqueos de tiempo obligatorios para propuestas de gobernanza que muevan fondos.
- Pagos de protocolos de seguro: si los productos de seguro DeFi (Nexus Mutual, InsurAce) cubren explotaciones de gobernanza o las clasifican como fallas de diseño fuera de su alcance de cobertura.
- Respuesta regulatoria: si la SEC o la CFTC citan ataques de gobernanza en sus argumentos para la regulación de DeFi, particularmente en el contexto del período de comentarios de Regulation Crypto Assets.
