Хакер, взломавший Venus Protocol, потерял 4,7 миллиона долларов после девяти месяцев планирования

Сектор децентрализованных финансов хорошо знаком с эксплойтами, происходящими молниеносно, когда хакеры уходят с миллионами за считанные секунды. Однако, недавняя атака на Venus Protocol не была ни быстрой, ни прибыльной.

Действительно, эксплойт, продолжавшийся месяцы, закончился тем, что хакер потерял 4,7 миллиона долларов… по крайней мере, на блокчейне.

Последний анализ воскресной атаки от аудиторской компании BlockSec показывает, что "картина на блокчейне более сложная", чем широко сообщенные 3,7 миллиона долларов, и что "как протокол, так и хакер в итоге потеряли деньги".

Читайте далее: Ошибка оракула усугубляет проблемы у DeFi-гиганта Aave

Сама атака была тщательно спланирована и включала накопление токенов THE от Thena в течение девяти месяцев. Технический отчет Allez Labs описывает, как хакер создал значительные позиции в THE, финансируемые через Tornado Cash.

Затем они превысили лимит предложения THE для Venus, манипулировали стоимостью THE, использованного в качестве обеспечения, и взяли в долг активы на сумму почти 15 миллионов долларов.

Однако, анализ BlockSec прибыли и убытков на блокчейне показал, что "хакер инвестировал 9,92 миллиона долларов и сохранил только около 5,2 миллиона долларов после всех ликвидаций, что привело к чистым убыткам на блокчейне в размере около 4,7 миллиона долларов".

Несмотря на убытки, понесенные на блокчейне, их прибыль могла быть получена из внесетевых позиций, таких как аккаунты централизованных бирж.

Сам протокол Venus Protocol остался с 2,1 миллионом долларов "плохих" долгов, поскольку боты ликвидации продавали обеспечение в виде THE на рынке с низкой ликвидностью. Allez Labs также отмечает, что "вектор атаки был отмечен в аудиторском отчете Code4rena в 2023 году, но был отклонен как не имеющий "никаких негативных последствий"".

Один исследователь в области безопасности утверждает, что заработал 15 000 долларов, играя на понижение по токенам THE, отслеживая эксплойт.

Читайте далее: Белый хакер обвиняет Injective в игнорировании после раскрытия ошибки, потенциально приводящей к потерям в 500 миллионов долларов

Venus: Слишком близко к солнцу

Venus Protocol является крупнейшей платформой кредитования в сети $BNB Chain (ранее Binance Smart Chain) с общим заблокированным объемом в 1,45 миллиарда долларов.

Запущенная в 2020 году, она столкнулась с множеством проблем за эти годы.

В сентябре опасения по поводу возможной атаки на 27 миллионов долларов оказались результатом того, что пользователь Venus стал жертвой фишинговой атаки. Протокол был приостановлен, и позиция пользователя была ликвидирована для возврата украденных средств.

Читайте далее: Эксплойтер DeFi нацелен на кредитные протоколы с использованием манипуляций с оракулами

Год назад платформа понесла "плохие" долги в размере 900 000 долларов "из-за атаки на оракул, которую никто не предвидел... хотя все должны были".

В отчете о постмортеме инцидента виной был назван "Оракул WUSDM от Mountain's Exchange Rate".

В 2023 году протокол готовился к ликвидации 150 миллионов долларов в $BNB, связанных с хакерской атакой на $BNB Bridge в 2022 году, которая привела к потерям в 600 миллионов долларов.

Venus был одним из многих протоколов, пострадавших от последствий краха $LUNA в 2022 году. Он накопил "плохие" долги в размере 14 миллионов долларов, когда цена $LUNA, отслеживаемая через Chainlink, обвалилась.

В конечном итоге, волатильность его собственного токена XVS привела к ликвидации активов на сумму 200 миллионов долларов и вызвала убытки в размере 90 миллионов долларов еще в 2021 году.