Venus Protocol лишился $2 млн после манипуляции с ценовым оракулом токена THE

Атака на Venus Protocol: манипуляция оракулом токена THE

15 марта лендинговый протокол Venus Protocol, работающий на BNB Chain, подвергся хакерской атаке. Злоумышленник использовал низкую ликвидность токена THE от DeFi-проекта Thena для манипулирования ценовым оракулом, что привело к образованию невозвратного долга на сумму $2,15 млн.

Команда Venus подтвердила инцидент в социальных сетях, сообщив о проведении расследования:

«Our risk manager @AllezLabs shares what we know so far. We will continue to provide updates as our investigation progresses.» — Venus Protocol (@VenusProtocol), оригинальный пост

Почему это важно

Манипуляции с ценовыми оракулами остаются одним из наиболее распространённых векторов атак в DeFi. Venus Protocol — крупная лендинговая платформа на BNB Chain, и этот инцидент уже второй подобный случай за последний год: в марте 2025 года протокол потерял более $716 000 из-за аналогичной атаки. Повторяемость подобных эксплойтов ставит под вопрос надёжность существующих механизмов защиты оракулов в протоколах децентрализованного кредитования.

Как проходила атака

Возможность для эксплойта возникла после того, как Venus включила токен THE в перечень залоговых активов основного пула. Атакующий воспользовался классической схемой манипуляции оракулом: вносил THE в качестве залога, заимствовал под него другие активы, немедленно приобретал на них дополнительные THE и повторял этот цикл. Каждая итерация была синхронизирована с моментами обновления данных временного оракула.

Одним из первых детали инцидента разобрал ончейн-исследователь Вэйлинь Ли (оригинальный пост). По его данным, хакер искусственно разогнал курс THE с $0,27 до почти $5. Ли провёл параллель с атакой на DeFi-платформу Mango Markets в 2022 году.

Для обхода лимита на депонирование THE злоумышленник прибегнул к так называемой donation attack — переводу токенов напрямую в смарт-контракт vTHE, минуя стандартную процедуру выпуска. Это привело к искусственному завышению внутреннего обменного курса платформы и позволило обойти установленные ограничения.

После первого цикла заимствований временной оракул Venus обновил цену THE до $0,5 — существенно ниже спотовых котировок, но почти вдвое выше исходного уровня. Атакующий предпринял попытку продолжить раскручивание цикла, докупая THE на заёмные средства, однако столкнулся с давлением продавцов.

В результате показатель здоровья позиции (health factor) опустился почти до единицы, и протокол инициировал ликвидацию. Номинальный объём обеспечения достигал $30 млн, однако рыночная глубина для реализации такого объёма отсутствовала — THE обрушился в пустой стакан ордеров. После ликвидации цена токена упала до $0,24.

Убытки и происхождение средств

По оценке Ли, хакер фактически не получил прибыли от операции и, вероятнее всего, оказался в убытке. При этом исследователь не исключил возможность хеджирования через бессрочные фьючерсы на сторонних площадках.

Аналитик EmberCN опубликовал более детальную разбивку ущерба. Он оценил невозвратный долг Venus в $2,15 млн — непогашенные заимствования в размере 1,18 млн CAKE и 1,84 млн THE. Стартовый капитал атакующего составил 7400 ETH, поступивших из криптомиксера Tornado Cash.

«一个从 Tornado 收到 7400 枚 ETH 的地址 (黑客？)，主导了今天晚上 CAKE 和 THE 的抵押品清算事件。导致了 Venus 产生约 $215 万的清算亏空 (118 万 CAKE+184 万 THE)，而黑客从 Venus 拿到了约 $507 万资金 (2,172 BNB+151.6 万 CAKE+20 BTC)。» — 余烬 (@EmberCN), оригинальный пост

Согласно данным EmberCN, хакер занял 9,92 млн USDT для проведения атаки, однако активы, выведенные из Venus, составили лишь $5,07 млн. По ончейн-данным операция выглядит убыточной, но аналитик допускает, что атакующий мог зарабатывать на понижении THE через ликвидации на централизованных биржах.

Повторение однотипных атак на Venus Protocol — в марте 2025 года убыток составил более $716 000 — указывает на системную уязвимость в механизме работы с низколиквидными залоговыми активами и ценовыми оракулами платформы.