Протокол Venus подвергся атаке «ликвидационной бомбы»: хакер выдавал себя за обычного пользователя в течение 9 месяцев, создав задолженность на сумму 2,15 млн долларов

BNB Chain кредитный протокол Venus Protocol 16 марта подвергся тщательно спланированной атаке с использованием уязвимости лимита поставки. Хакер, за 9 месяцев медленно накапливая позиции и манипулируя ценой токена THE, вызвал цепную реакцию ликвидаций, в результате которой протокол потерял около 2,15 миллиона долларов в плохих долгах, а злоумышленник вывел примерно 5,07 миллиона долларов активов.
(Предыстория: Хакер BNB на сумму 200 миллионов долларов почти ликвидирован, Venus: официальное заявление BNB Chain — «будем управлять позициями»)
(Дополнительный фон: Исследование｜Наиболее распространённые виды атак на DeFi модели экономики: манипуляции ценами, ошибки оракулов, ликвидации с использованием кредитного плеча)

Структура статьи

Переключить

• Таймлайн атаки: 9 месяцев скрытности, 40 минут сбора урожая
• Итоги: вывод 5,07 миллиона долларов, плохие долги на сумму 2,15 миллиона долларов
• Срочные меры Venus: обнуление 7 маркета по фактору залога

16 марта ведущий кредитный протокол BNB Chain — Venus Protocol — подвергся сложной атаке, подготовленной за 9 месяцев. После получения средств через Tornado Cash злоумышленник манипулировал ценой низколиквидного токена THE (родного токена Thena), что вызвало цепную реакцию ликвидаций. В результате протокол понёс около 2,15 миллиона долларов в плохих долгах, а злоумышленник вывел примерно 5,07 миллиона долларов активов, при этом реальная прибыль, вероятно, была выше.

Таймлайн атаки: 9 месяцев скрытности, 40 минут сбора урожая

Адрес кошелька, получивший 7 447 ETH (примерно 16,29 миллиона долларов) через Tornado Cash — «0x7a7», — был идентифицирован исследователями блокчейна как организатор атаки.

Атака проходила в два этапа:

2. Долгосрочная скрытность (с июня 2025 года): злоумышленник через обычные депозиты медленно накапливал токены THE на платформе Venus, в конечном итоге достигнув 84% от лимита поставки протокола (около 12,2 миллиона токенов).
3. Взрывной запуск (примерно 40 минут): злоумышленник использовал ETH в качестве залога на Aave, взял кредит на 9,92 миллиона долларов в стабильных монетах, а также массово закупал THE на централизованных биржах, предположительно, чтобы поднять спотовую цену; одновременно он напрямую перевёл 36,1 миллиона THE в контракт протокола, мгновенно увеличив цепной объём предложения.

Затем начался рекурсивный цикл: депонирование THE → заимствование других активов → использование заимствованных средств для повторных покупок THE → ожидание задержки обновления TWAP-оракула, пассивное повышение цены → повторять.

В ходе этого процесса спотовая цена THE выросла с $0,263 до $0,563, более чем вдвое. После примерно 40 минут цена рухнула до $0,22, что вызвало цепную реакцию ликвидаций.

Итоги: вывод 5,07 миллиона долларов, плохие долги на сумму 2,15 миллиона долларов

В конечном итоге злоумышленник заимствовал и вывел:

• 2 172 BNB
• 151 600 CAKE
• 20 BTC

В результате Venus понёс плохие долги, составляющие около 1,18 миллиона CAKE и 1,84 миллиона THE, итого примерно 2,15 миллиона долларов. Исследователи блокчейна отмечают, что у злоумышленника на централизованных биржах могли быть короткие позиции по THE, что могло принести дополнительную прибыль, и реальный доход, вероятно, значительно превышает сумму, выведенную из протокола.

Этот тип атаки относится к известной категории — «supply cap donation attack» — согласно сообщению CoinTelegraph, это известная уязвимость, позволяющая обходить лимит поставки в форке протокола Compound. Поскольку Venus является ответвлением Compound, он изначально имел такую уязвимость.

Срочные меры Venus: обнуление 7 маркета по фактору залога

«Venus всегда стремится к прозрачности. После завершения расследования будет опубликован полный отчёт.» — официальное заявление Venus Protocol

Официальный представитель Venus заявил, что, помимо ранее приостановленных заимствований и выводов THE, сейчас были обнулены 7 рынков, у которых фактор залога (Collateral Factor) был снижен до 0. Эти меры предприняты для рынков с чрезмерно высоким соотношением залоговых активов у одного пользователя:

• BCH, LTC, UNI, AAVE, FIL, TWT, lisUSD

Протокол подчеркнул, что все остальные рынки вне указанных выше остались без изменений и продолжают работать в штатном режиме. Полный отчёт о расследовании будет опубликован после его завершения.

Данный инцидент вновь выявил структурные риски DeFi-кредитных протоколов при использовании токенов с низкой ликвидностью и задержек TWAP-оракулов — когда у злоумышленника есть достаточно времени и средств для медленного наращивания позиций, стандартные механизмы ограничения поставки оказываются бессильными.