El voto de 8.5 millones de dólares: ¿Por qué la gobernanza es la nueva superficie de ataque para las criptomonedas?

La votación de $8.5 millones: ¿Por qué la gobernanza es la nueva superficie de ataque para las criptomonedas?

El código nunca fue el problema.

Term Labs, el equipo responsable del protocolo de préstamos a tipo fijo llamado Term Finance, confirmó el 23 de agosto que un atacante había vaciado aproximadamente 8.5 millones de dólares de sus bóvedas de préstamos. Las empresas de seguridad de blockchain que detectaron y confirmaron el incidente –PeckShield y CertiK– también rastearon ese dinero: aproximadamente 2,843 ETH, valorados en unos 6.87 millones de dólares.168 mil USDC que el atacante convirtió rápidamente en DAILa clasificación es más importante que la cantidad en dólares. Se trató de una explotación relacionada con la gobernanza, no con un error en el código. Los contratos no se rompieron. El protocolo fue votado en contra.

La escala cambia primero el juicio. Los cofres de Term albergabanUn valor total de aproximadamente 12.2 millones de dólares bloqueados.TVL, la medida estándar de los depósitos… De esos $8.6 millones, $8.5 millones se encuentran en Ethereum. La pérdida de $8.5 millones representa casi toda la parte relacionada con Ethereum en el conjunto de datos. Se trata de una votación, no de un error, que hizo que los colateralizados del protocolo se vaciaran.

Es tentador considerar esto como otro tipo de ataque en el ámbito DeFi. Pero no es así. Se trata de una forma de toma de control por parte de los gobernantes del proyecto, y eso es una categoría más peligrosa. Los “vaults” son fondos de contratos inteligentes que agrupan los depósitos y aplican estrategias automáticas de préstamo en la cadena de bloques. Quienes controlan los votos de gobernanza deciden qué estrategias se implementarán. En lugar de buscar fallas en el código auditado, el atacante acumula poder de voto para influir en las decisiones de los vaults. Pasa propuestas para transferir los fondos, y observa cómo los vaults las implementan. La gobernanza es el mecanismo mediante el cual un protocolo transfiere el control sobre sus estrategias, tesoros y mejoras a sus usuarios. Cuando un atacante puede tomar ese control de manera fácil, la “descentralización” que un proyecto promociona como su ventaja se convierte en la superficie de ataque más barata que posee.

La coreografía parece una tomada de control corporativa barata. El atacante introdujo elementos de la operación…Solo 2 ETH de Tornado Cash.El “mixer de privacidad” se utilizaba para cortar el rastro en la cadena de bloques. Con esa pequeña cantidad de capital, se podía obtener un poder de voto mucho mayor que su tamaño real. El resultado fue…Control total de cuatro de los cinco cofres de estrategia USDC de Term.Y aproximadamente el 91% del Ethereum Meta Vault fue aprobado, pero las propuestas que permitían que los fondos fueran transferidos a una cartera controlada por los atacantes no fueron consideradas. Los usuarios que hicieron los depósitos –la mayoría silenciosa que no participó en la votación– nunca esperaron que sus dinero estuvieran en riesgo de ser transferidos a esa cartera. En un sistema de gobernanza con baja participación, una supermayoría es más económica de lo que realmente merece ser.

Ahora, la verdadera cuestión es esta: los detalles que son más importantes – es decir, cómo exactamente 2 ETH se convirtió en una participación mayoritaria – no han sido publicados. La empresa responsable ha confirmado el incidente y prometido dar una explicación más completa una vez que su investigación avance, pero ni el equipo ni las empresas de seguridad han revelado aún el mecanismo específico que se utilizó para cometer el fraude. Una verdadera análisis posterior debe responder a esa pregunta, porque la solución al problema se basa en ese mecanismo. Mientras tanto, lo que podemos verificar es el patrón, y ese patrón es peor que el propio incidente.

Porque Term no es un caso atípico; es simplemente el final de una temporada. Durante unas ocho semanas este verano, la empresa de seguridad Blockaid…Se contaron al menos siete protocolos en Ethereum, Solana y Base.Se destruyeron aproximadamente 22 millones de dólares en total debido a las adquisiciones por parte de las autoridades gubernamentales. Los nombres de esas empresas parecen formar una especie de clasificación de los modos de fracaso de estas empresas.

• Token de PoderEn Aragón: se ofrece una cantidad fija de solo 16,384 tokens. Por lo tanto, comprar más de la mitad de esos tokens era algo muy fácil. No hay restricciones de tiempo, por lo que una propuesta podía ser creada, aprobada y ejecutada en una sola transacción. El atacante podría imprimir 10 mil millones de nuevos tokens.
• BonkDAOEn Solana: la plataforma de gobernanza aprobó las propuestas con solo el 1% del suministro de tokens. El atacante gastó aproximadamente $4.4 millones en BONK. Sin ningún retraso en la ejecución, una propuesta que se presentaba como “recompensa para los votantes que dieron ‘sí’” vació el tesoro de la empresa.
• BarnBridgeEn Ethereum: al bloquear aproximadamente $600 en tokens BOND, se obtiene suficiente poder de votación para utilizarlos en la creación de un controlador malicioso. Este controlador luego utiliza esos tokens para obtener acceso ilimitado a USDC, que aún está activo, en alrededor de 50 carteras de criptomonedas.
• SoloEl poder de voto se presta temporalmente para un solo bloque; es decir, se realiza una préstamo temporal que se devuelve en la misma transacción. Aquí, se utiliza para votar una vez y luego devolver los tokens.

El hilo común es una aritmética sencilla: los costos de control son menor que los activos que se desbloquean. Los umbrales de quórum están cerca de cero. La ejecución es instantánea. Las funciones críticas como la emisión de monedas, las transferencias en el tesoro y las actualizaciones de contratos están a solo un voto de distancia de la mayoría incorrecta.

Esa matemática es fácil de pasar por alto, porque el mercado considera las soluciones de gobernanza como algo insignificante en comparación con los grandes números del año. La primera mitad de 2026…Un récord de 207 ataques separados.Sin embargo, las pérdidas totales ascendieron a 972 millones de dólares: menos de la mitad de los 2.3 mil millones de dólares que fueron robados en el mismo período de 2025, según la empresa de análisis de blockchain TRM Labs. La mayor parte del dinero real se perdió debido a claves robadas y a infraestructuras de firma comprometidas. Los atacantes vinculados a Corea del Norte fueron responsables de aproximadamente 643 millones de dólares, lo que representa alrededor del 66% de todas las pérdidas. Entre ellos se encuentran Drift, con una pérdida de 285 millones de dólares, y KelpDAO, con una pérdida de 292 millones de dólares. Los ataques basados en explotaciones de código son los más comunes, pero representan la menor proporción del valor total.

Entonces, ¿por qué debería llamar la atención el robo de votos por valor de 8.5 millones de dólares? Hay tres razones.

En primer lugar, la destrucción causada por cada incidente es casi total. Una mayoría minoritaria logró vaciar aproximadamente el 99% del valor de los activos en Ethereum que tenía Term. Un robo importante puede ser detenido y parcialmente recuperado; pero una toma de control hostil significa la pérdida del propio protocolo. En segundo lugar, no existe ninguna forma de recuperar algo. Los ataques de gobernanza utilizan los mecanismos legítimos del propio protocolo, por lo que las defensas habituales no son efectivas: no hay compensaciones por errores técnicos, ni productos de seguros que consideren un voto como una vulnerabilidad. Además, una cartera cuyo código esté codificada con tecnología Tornado no permite que el equipo tenga ningún registro público con el cual negociar. La historia de Term sirve para ilustrar este contraste: en 2025, hubo una pérdida de aproximadamente 1.5 millones de dólares debido a un error en la configuración del orador, pero esa pérdida fue posteriormente recuperada, ya que se trató de un accidente operativo con un socio con quien era posible negociar. Una mayoría hostil no es un accidente, y no hay nadie con quien negociar.

En tercer lugar, su posición en la curva de adopción. Este término se refiere a los préstamos con tasas de interés fijas que se ofrecen a través de subastas, en lugar de a través de bancos. La ventaja institucional de esta modalidad es que el crédito puede ser confiable y programable, y está regulado por una infraestructura adecuada. Pero esa ventaja solo es creíble si “el código es ley” significa que los depósitos no pueden ser anulados por votos adquiridos de forma barata. Una gestión del protocolo de préstamos por parte de una autoridad externa es la prueba más directa de que controlar la infraestructura sin controles económicos no constituye descentralización. Es simplemente una custodia delegada con pasos adicionales.

El momento adecuado también es importante. Esto ocurre en un mercado tranquilo y con bajos riesgos: la ETH se negocia cerca de los $2,439 en este momento, aproximadamente la mitad de su punto más alto en 52 semanas, que era de los $4,796. El valor total del mercado de criptomonedas es de aproximadamente $2.63 billones, y el dominio de Bitcoin es de casi el 59%, según los datos del mercado. Las ondas especulativas son lo que capturan la atención de los medios de comunicación; las épocas de tranquilidad son cuando surgen debilidades en la capa de control, una por cada protocolo. El ataque de Term es uno de los cinco ataques de gobernanza en 2026, cuyo valor total es de $25.1 millones. En total, es una cantidad pequeña, pero en cada caso individual, es bastante significativo.

La traducción de “builder” se basa directamente en el método de juego utilizado por los atacantes. Establezca umbrales para el control: defina los umbrales de quórum y depósitos requeridos para que obtener una mayoría sea más costoso de lo que un voto simple puede lograr. Los umbrales del 1% de BonkDAO y la oferta fija de Token of Power son pruebas de lo que puede obtenerse con precios bajo para el control. Retrase todo: se deben establecer periodos de espera obligatorios entre el paso del voto y su ejecución, además de posibilidades de pausa y cancelación de acciones urgentes. Separe los poderes: la emisión de monedas, los movimientos del tesoro y las actualizaciones deben requerir consentimiento múltiple o medidas de seguridad adicionales, no solo un voto. Elimine los votos que pueden ser utilizados temporalmente: calcule el poder de voto a partir del bloque anterior, para que no puedan ser utilizados temporalmente. Y elimine las aprobaciones innecesarias: las víctimas de BarnBridge perdieron fondos debido a permisos otorgados años antes que nunca fueron revocados. Revocar las aprobaciones innecesarias es la forma más económica de protegerse.

El cambio más significativo es aquel que debe llevarse a cabo. La industria pasó una década tratando las auditorías de contratos inteligentes como algo fundamental para la seguridad. Pero ahora, los ataques relacionados con explotaciones de código son el modo de fallo menos importante en términos de valor monetario. Los ataques que realmente han afectado al capital en este ciclo se dirigen hacia la capa de control: las claves fuera de la cadena de bloques que firman las transacciones y los votos dentro de la cadena de bloques que permiten que las transacciones se realicen. La gobernanza es parte de la infraestructura. Necesita el mismo modelado de amenazas, los mismos presupuestos y la misma planificación para responder a incidentes que la infraestructura de firma, que todos consideran crítica.

El código permaneció en estado “Term”. La gobernanza no lo hizo… Y esa frase, no los totales de las inversiones de este trimestre, es lo que el capital institucional debería repetir para cada protocolo de préstamo que se autodenomina descentralizado. Pregúntele a cualquier operador de bóveda: no si fue auditado, sino quién puede controlar los controles y cuánto cuesta eso. Si la respuesta es “barato”, entonces ese protocolo no es un préstamo. Es simplemente una bóveda sobre la cual otra persona decide. Los constructores que valoran honestamente la descentralización – el costo de control, los retrasos en la ejecución y la separación de poderes incorporados en el diseño – convierten la gobernanza en una ventaja competitiva. Todo el resto está a solo 2 ETH de ganar los $8.5 millones siguientes.