Un exploit de gobernanza en Term Labs drena 8,5 millones de dólares
Term Labs sufrió un exploit de gobernanza de 8,5 millones de dólares el 23 de agosto de 2026, lo que puso de manifiesto un importante riesgo de seguridad en DeFi. El atacante utilizó aproximadamente 0,5 ETH para envolver participaciones de vault y controlar cerca del 90,7 % del poder de voto activo en el ETH Meta Vault. Una segunda cartera controlaba todo el poder de voto activo de las propuestas dirigidas a cinco vaults de USDC.
El exploit de gobernanza de Term Labs no se basó en un fallo del contrato inteligente principal ni en el robo de una clave privada. En su lugar, el atacante aprovechó la baja participación en las votaciones y la escasa liquidez del token de gobernanza. Una propuesta maliciosa, disfrazada de veto rutinario a los parámetros del vault, contenía 17 acciones. Esta propuesta restableció el periodo de espera de aproximadamente siete días del módulo Zodiac Delay, transfirió el control de ejecución a una dirección controlada por el atacante y redirigió los activos de los vaults a una estrategia de salida maliciosa.
Una vez finalizado el periodo de votación, el atacante drenó 2.841,74 WETH del vault de ETH y retiró aproximadamente 1,68 millones de USDC de cinco vaults de USDC. Los USDC se intercambiaron por DAI, mientras que posteriormente algunos activos se convirtieron en ETH y se enviaron a través de Tornado Cash. Las firmas de seguridad PeckShield y CertiK confirmaron el incidente y vincularon la actividad a la dirección 0xD518…C13.
Term Labs cerró permanentemente los depósitos de Meta Vault, revocó los roles de gobernanza de la DAO y mantuvo abiertas las retiradas para los usuarios existentes. El incidente fue el quinto ataque de gobernanza registrado en 2026, elevando las pérdidas relacionadas con la gobernanza a aproximadamente 25,1 millones de dólares. Los traders deben vigilar la presión vendedora sobre ETH, las carteras afectadas, las condiciones de liquidez y las salvaguardas de gobernanza en protocolos DeFi similares. El caso podría lastrar el sentimiento hacia la DeFi centrada en la gobernanza, salvo que los protocolos adopten reglas de quórum más estrictas, controles multisig, votación por convicción y bloqueos temporales ejecutables.
Bearish
El impacto inmediato es bajista para ETH y WETH, ya que el atacante drenó más de 2.841 WETH y convirtió parte de los activos robados en ETH, lo que genera una posible presión vendedora. El movimiento de fondos a través de Tornado Cash también aumenta la incertidumbre y puede llevar a los operadores a reducir su exposición a los ecosistemas DeFi afectados.
El propio USDC está diseñado para mantener la paridad con el dólar, por lo que es poco probable que el incidente provoque un movimiento direccional duradero en su precio si los reembolsos y la liquidez se mantienen normales. DAI podría afrontar problemas de liquidez o confianza a corto plazo porque el USDC robado se intercambió por DAI, aunque el impacto general sobre el precio debería ser limitado si el mercado absorbe las transacciones.
A corto plazo, los operadores podrían evitar los activos relacionados con Term Labs y los tokens de gobernanza, ampliar las primas de riesgo y vigilar las carteras del atacante por si se producen ventas adicionales. A largo plazo, los ataques repetidos contra la gobernanza podrían presionar las valoraciones de DeFi y la demanda de tokens de gobernanza, al demostrar que una baja participación, una liquidez escasa y unos retrasos débiles en la ejecución pueden exponer grandes tesorerías. Unos umbrales de quórum más estrictos, multisig, bloqueos temporales obligatorios y controles de emergencia independientes podrían acabar restaurando la confianza, pero la señal inmediata del mercado sigue siendo bajista.