Крупнейшая кредитная платформа на BNB Chain — Venus Protocol — стала жертвой изощрённой атаки с манипуляцией ценой токена THE от проекта Thena. Злоумышленник искусственно раздул стоимость малоликвидного актива почти в 20 раз и использовал его в качестве залога для вывода Bitcoin, CAKE и USDC на общую сумму свыше $3,7 млн.
Девять месяцев подготовки
Расследование в блокчейне показало, что злоумышленник начал подготовку ещё в июне 2025 года, систематически наращивая позицию в токене THE на Venus Protocol. За девять месяцев он накопил 14,5 млн токенов — это 84% от установленного протоколом лимита поставки. Медленное наращивание позиции позволило оставаться вне поля зрения систем мониторинга платформы.
Первоначальное финансирование операции — 7 400 ETH — поступило через Tornado Cash, микшер для сокрытия происхождения криптовалютных транзакций. Этот факт существенно усложняет идентификацию атакующего и потенциальный возврат похищенных средств.
Как работал эксплойт
Ключевым элементом атаки стала так называемая «donation attack». Вместо стандартного депозита через функцию протокола атакующий переводил токены THE напрямую в смарт-контракт vTHE. Это искажало внутренний обменный курс контракта и позволяло обойти установленный лимит поставки.
В результате злоумышленник создал залоговую позицию в 53,2 млн THE — втрое больше допустимого максимума. Далее он запустил циклическую схему: вносил THE в качестве залога, занимал другие активы, покупал на них ещё больше THE и ждал обновления ценового оракула TWAP.
Из-за мизерной ликвидности THE в сети цена токена взлетела с примерно $0,27 до почти $5 за единицу. Каждый цикл увеличивал оценочную стоимость залога, открывая возможность занимать всё большие объёмы реальных активов.
Масштаб похищенных активов
Блокчейн-аналитик EmberCN подсчитал, что даже после частичной ликвидации позиций в протоколе осталось приблизительно $2,15 млн безнадёжного долга. Он состоит из 1,18 млн токенов CAKE и 1,84 млн THE, которые более не обеспечены достаточным залогом.
Реакция протокола и замороженные рынки
Команда Venus сообщила об обнаружении «необычной активности» в пуле THE и немедленно приостановила заимствование и вывод этого токена. Дополнительно были временно заблокированы несколько других рынков с высокой концентрацией ликвидности — BCH, LTC, UNI, AAVE, FIL и TWT — для предотвращения каскадных ликвидаций.
Это уже второй серьёзный инцидент безопасности в Venus Protocol. В феврале 2025 года аналогичная «donation attack» на развёртывании Venus в сети ZKSync нанесла ущерб на более чем $700 тыс. Повторение той же уязвимости через год свидетельствует о системных недостатках в архитектуре проверки лимитов поставки.
Тревожный тренд в DeFi-кредитовании
Эксплойт Venus является частью более широкой волны атак на кредитные DeFi-протоколы. Лишь несколько дней назад трейдер потерял $50 млн из-за MEV-атаки при обмене на Aave. Оба инцидента демонстрируют, что даже ведущие платформы с миллиардными объёмами остаются уязвимыми для манипуляций.
Для пользователей DeFi-сервисов эти события — напоминание о важности диверсификации рисков между несколькими протоколами, проверки ликвидности залоговых активов и внимательного отношения к платформам, принимающим малоликвидные токены в качестве залога.
Комментарии
Ваш e-mail адрес не будет опубликован. Обязательные поля отмечены *