Un protocolo tenía un plazo de siete días para detener un voto malicioso. Un voto malicioso eliminó ese plazo. Luego se llevó $8,5 millones. Term Finance, agosto. Nadie entró por la fuerza. Las bóvedas contenían ETH y USDC de los depositantes. Quien poseyera el token de gobernanza decidía qué hacían las bóvedas con esos fondos. Casi nadie lo poseía, por lo que el control era barato. El atacante gastó $951. Eso compró el control total de cuatro bóvedas y aproximadamente el 90% de una quinta. Luego, en orden: 👉 17 y 18 de agosto: dos monederos financiados con 2 ETH a través de un mezclador 👉 21 de agosto: siete propuestas de gobernanza presentadas públicamente 👉 23 de agosto: ejecución ✅ 06:25 UTC: la primera propuesta pasa. Reduce el retraso de gobernanza a cero ✅ 06:47 UTC: las bóvedas son vaciadas 22 minutos entre eliminar el retraso y extraer el dinero. 2.843 ETH y 1,68 millones de USDC — aproximadamente el 68% de todo lo que tenían las bóvedas. Cada voto fue válido. Se siguieron todas las reglas. Los contratos hicieron exactamente lo que estaban programados para hacer. El retraso de siete días existía para que los depositantes pudieran ver una propuesta peligrosa y oponerse antes de que se ejecutara. Un mecanismo de seguridad que puede desactivarse con el mismo voto que pretende restringir no es un mecanismo de seguridad. Es un defecto por defecto. $951 fueron suficientes. Todos los que pusieron dinero tenían un voto. Casi nadie lo usó. El precio del control colapsa hasta lo que una sola persona esté dispuesta a pagar, y la apatía fija ese precio, no el valor de lo que se protege. Los siete días estaban allí para que alguien pudiera oponerse. Nadie tuvo la oportunidad, porque los siete días fueron votados primero. Costo total: $951.