Term Finance pierde 8,5 millones de dólares en un masivo exploit de gobernanza

Un protocolo DeFi de préstamos acaba de ser vaciado de 8,5 millones de dólares mediante un ataque dirigido directamente contra su sistema de gobernanza. A pesar de contar con salvaguardas teóricamente robustas, el exploit logró eludir la totalidad de las protecciones implementadas.

Term Finance se suma a una larga lista de protocolos víctimas de vulnerabilidades de gobernanza — una categoría de ataques en plena expansión dentro del ecosistema DeFi. Este tipo de exploit plantea preguntas fundamentales sobre la solidez de los mecanismos de control descentralizados.

Esto es lo que se sabe hasta ahora sobre el incidente, sus mecanismos técnicos y lo que revela acerca de las vulnerabilidades estructurales de la DeFi en 2025.

Un exploit de gobernanza que eludió todos los cerrojos

Term Finance es un protocolo de préstamos descentralizado que permite a los usuarios depositar activos en term vaults — bóvedas de duración fija que generan rendimiento. Para modificar los parámetros de dichas bóvedas, el protocolo impone normalmente un plazo de siete días antes de la ejecución de cualquier propuesta de gobernanza, acompañado de un derecho de veto otorgado a los proveedores de liquidez.

Sobre el papel, este doble mecanismo — plazo obligatorio y veto de los LPs — constituye una barrera sólida frente a ataques oportunistas. En la práctica, el atacante logró explotar una brecha en este proceso para drenar aproximadamente 8,5 millones de dólares en fondos depositados por los usuarios. El equipo aún no ha divulgado por completo los detalles precisos del vector de ataque, una práctica habitual para evitar ataques imitadores durante la investigación post-mortem.

Este tipo de exploit, conocido como governance attack, consiste generalmente en manipular el proceso de votación o de ejecución de propuestas para forzar la adopción de parámetros maliciosos — como redirigir los fondos hacia una dirección controlada por el atacante. La pregunta clave sigue siendo: ¿por qué el plazo de siete días no fue suficiente para alertar a la comunidad o a los guardianes del protocolo?

La gobernanza DeFi: un vector de ataque subestimado

Los exploits de gobernanza representan una de las amenazas más insidiosas del ecosistema descentralizado. A diferencia de los ataques de tipo flash loan o de las vulnerabilidades clásicas en smart contracts, explotan las propias reglas del protocolo — lo que los hace jurídica y técnicamente difíciles de calificar como simples hackeos.

Existen precedentes notables: Beanstalk Farms perdió 182 millones de dólares en abril de 2022 mediante un exploit de gobernanza que utilizó un flash loan para adquirir temporalmente una mayoría de votos. Compound y Tornado Cash también sufrieron intentos similares. En cada caso, la velocidad de ejecución o la ingeniería social permitieron sortear los plazos de seguridad establecidos.

En el caso de Term Finance, el incidente pone de manifiesto una realidad incómoda: un plazo de siete días solo es eficaz si hay actores vigilantes que monitoricen activamente las propuestas en curso. Sin un sistema de alertas automatizado y robusto, sin una comunidad suficientemente comprometida, o si el ataque explota una fase anterior al período de espera, esta salvaguarda se convierte en algo meramente teórico. La DeFi debe replantear sus modelos de seguridad en materia de gobernanza — no basta con añadir plazos, sino que es necesario integrar mecanismos de supervisión on-chain en tiempo real y sistemas de respuesta de emergencia capaces de actuar antes de que sea demasiado tarde.