Drenaje de los 8.5 millones de dólares de Term Labs: Código auditado, bóvedas no gestionadas

El ataque que dejó vacíos los depósitos de tasa fija de Term Labs el 23 de agosto comenzó con un monto de 2 ETH que fue transferido a través de Tornado Cash. El ataque terminó cuando una sola dirección, 0xD5183, contaba con aproximadamente 2,843 ETH y 1,6 millones de DAI. El camino por el cual se obtuvo la financiación es algo que está registrado en la cadena de bloques, por lo tanto, ya está documentado. Todo lo demás – los “8,5 millones de dólares”, la “vulnerabilidad de gobernanza”, la recuperación del dinero – son estimaciones en curso de determinación o aún bajo investigación. La diferencia entre estas dos categorías es donde se encuentra la información útil.

Comience con la cifra, ya que es lo más interesante de la noticia. Los $8.5 millones son una estimación de una empresa de seguridad, no un reconocimiento formal. CertiK clasificó el incidente como un ataque de gobernanza, con pérdidas cercanas a los $8.5 millones; la cifra de PeckShield fue de 2,843 ETH.Se valoró en aproximadamente 6.87 millones de dólares cuando se emitió la alerta.Además, hay 1.68 millones de USDC. Verifique la aritmética en comparación con los valores actuales: con el precio del ether cerca de $2,420, 2,843 ETH equivalen aproximadamente a $6.9 millones. La moneda estable también contribuye al total. Pero se trata de un recibo con fecha de registro; la fecha ya ha cambiado. Cuando el carteador revisó su cuenta después del exploit, tenía DAI en lugar de USDC. Las primeras notificaciones eran contradictorias: “1.6 millones de DAI” en uno de los registros, “1.68 millones de USDC” en otro. La cadena resuelve el conflicto: los fondos fueron transferidos a USDC, y luego 0xD5183 fue convertido en DAI. Se trata de una discrepancia en la fecha de registro, no de un hecho disputado. PeckShield señala que las estimaciones varían según los precios, las comisiones y las transferencias posteriores. En otras palabras, la verdadera cantidad está en lo que el carteador tiene cuando finalmente congela o recupera ese dinero.

El mecanismo es donde la versión oficial falla. Term Labs ha confirmadoUn exploit de gobernanza que afecta a los Term vaults.Y dice que compartirá más detalles una vez que el asunto haya sido investigado. Eso es lo más del informe. A la fecha de publicación, el protocolo no ha confirmado el número de pérdidas, ni los cofres afectados, ni cómo el atacante obtuvo el control sobre la gobernanza, ni ha anunciado ninguna suspensión en las depositaciones, retiros o funciones de gobernanza. El informe actual solo cubre la parte relacionada con la atribución: se dice que el atacante ha obtenido el control sobre las votaciones.Cuatro de los cinco cofres de estrategia USDC de Term.Y aproximadamente el 91 por ciento del Ethereum Meta Vault fue transferido a la dirección 0xD5183. Los contratos mediante los cuales se movió el dinero son contratos auditados; la explotación se realizó sin que el código se rompiera.

Mantenga las cajas separadas, porque la diferencia está en la “historia” que representan. Un error en un contrato es un defecto en lo que puede hacer un sistema. La gestión de la captura de poder, por su parte, es un defecto en quién tiene derecho a decidir qué puede hacer el sistema. Y estos dos problemas tienen soluciones diferentes.Los cofres de Term se encuentran en el marco de estrategia V3 de Yearn.Y una auditoría de ese marco.No encontraron ningos problemas críticos o muy graves.“El código está bien” y “el cofre es seguro” son oraciones diferentes. La información que se reporta sobre este incidente – como la tokenómica, la apatía de los votantes y los controles de acceso insuficientes en las funciones de gestión del cofre – es un problema de arquitectura que una auditoría limpia no puede resolver. Una auditoría limpia solo revisa el código; no revisa el quórum necesario para tomar decisiones.

Para el depositante, se trata de un cambio de identidad legal sin ningún tipo de trámites administrativos.

Esa es la razón por la cual la cuestión de la recuperación merece un apartado aparte. El incidente ocurrido por parte de Term Finance a finales de abril de 2025 costó…Alrededor de 1.5 millones de dólares, y provenía de una actualización defectuosa del sistema Oracle.De repente, el valor de los activos garantizados se malestimó. Fue un error operativo del propio equipo, y los fondos fueron devueltos, en parte porque se logró convencer a las personas involucradas. Esta vez, la financiación pasó por Tornado Cash, que está diseñado para servir como una barrera, no como un obstáculo para la velocidad. La conexión entre el atacante y cualquier persona que pudiera negociar con ellos es precisamente lo que falta. El mismo protocolo, pero con dieciséis meses de diferencia: el evento de 2025 fue un error en la construcción del sistema, con un camino para devolver los fondos; este caso, en cambio, es una captura de gobernanza externa, sin ningún camino para devolver los fondos.

La objeción correspondiente vale la pena ser expresada claramente. Los $8.5 millones son una cifra insignificante en comparación con los aproximadamente $290 millones que la infraestructura vinculada a KelpDAO perdió en abril, lo que se consideró el mayor hackeo de 2026. Además, los fallos en los sistemas de seguridad han sido un tema recurrente durante todo el año; entre ellos, el ataque de Summer.fi en julio.Se retiraron aproximadamente 6 millones de dólares de dos bóvedas de USDC.En una sola transacción atómica. A ese nivel, un prestamista de tipo “seed stage” con tasas fijas que pierde 8.5 millones de dólares puede considerarse como un riesgo especial en un producto específico. Lo que impide que esta situación se convierta en algo grave es el hecho de que este es el segundo fracaso de Term en dieciséis meses. Además, 2026 se ha convertido en la temporada en la que la infraestructura de seguridad ha pasado a ser el objetivo del ataque: los adaptadores de estrategia, los controles de emergencia y los mecanismos de control que se encuentran entre el depósito y el retorno del dinero. La estrategia de Term consiste en permisos y votos, en lugar de contabilidad. Pero es lo mismo, solo que a través de una puerta diferente. Y el momento exacto es el 4 de agosto, menos de tres semanas antes del colapso.Term Labs estaba presentando Term V2.Como el siguiente nivel de DeFi con tasas fijas. Este nivel se implementó a través del proceso de gobernanza, antes de que pudiera ser presentado completamente.

La condición de interrupción está establecida de tal manera que puede ser verificada. Lo que contradice esta interpretación es el informe postmortem que indica que los votos obtenidos se encuentran dentro de los umbrales previstos, pero el verdadero problema fue la ejecución del proceso de gobernanza. Esto convierte una historia relacionada con la gobernanza en una historia relacionada con código. O bien, puede tratarse de un caso de congelación y recuperación, lo cual lo convierte en una historia relacionada con negociaciones. Hasta que el informe postmortem incluya la lista de los vault afectados y los parámetros relacionados con los votos, el registro permanece como está: el código se mantiene, la gobernanza no lo hizo, y los $8.5 millones son simplemente un recibo para una billetera que sigue en movimiento.