После эксплойта, манипулировавшего ценой токена THE на Thena, у Venus Protocol осталось около $2 млн безнадежного долга

Venus Protocol, крупнейшая кредитная платформа на BNB Chain, в воскресенье подверглась атаке с манипулированием ценой, нацеленной на низколиквидный токен THE, нативный токен DeFi-«суперприложения» Thena, в результате чего у протокола образовался, по оценкам, безнадежный долг в размере $2,15 млн.

Злоумышленник воспользовался низкой ончейн-ликвидностью THE, чтобы запустить классический цикл манипулирования оракулом: внести THE в качестве залога, занять другие активы, использовать вырученные средства для покупки большего количества THE и повторять это по мере того, как оракул средневзвешенной по времени цены обновлялся, отражая разогнанную цену. Venus включил THE в список залоговых активов в своем Core Pool.

Цена THE была искусственно поднята примерно с $0,27 почти до $5, согласно ончейн-исследователю Вэйлиню Ли, который первым сообщил об атаке. Этот сценарий повторяет эксплойт Mango Markets в октябре 2022 года — тип атаки, который Ли моделировал в академической статье 2023 года. Ли сообщил The Block, что заметил атаку после того, как автоматизированная программа обнаружила расхождение между ценой THE на централизованных и децентрализованных биржах.

Чтобы масштабировать атаку за пределы лимита предложения Venus на THE, злоумышленник использовал атаку через пожертвование, напрямую переводя токены THE в контракт vTHE, а не внося их через обычный механизм минтинга. Это завысило обменный курс, распознаваемый протоколом, фактически позволив обойти лимит.

Venus признал «необычную активность» в пуле THE в посте на X, пообещав обновления по мере продолжения расследования протокола. Протокол также приостановил все заимствования и выводы THE в качестве меры предосторожности.

Злоумышленник, по-видимому, потерял деньги ончейн

После первого раунда заимствований оракул средневзвешенной по времени цены Venus обновил цену THE примерно до $0,50 — это все еще было значительно ниже искусственно разогнанной спотовой цены, но почти вдвое выше уровня THE до атаки. Злоумышленник попытался продвинуться дальше, продолжая покупать THE на занятые активы. Но давление продаж превзошло эти усилия. Фактор здоровья позиции злоумышленника упал почти до 1, что спровоцировало ликвидацию.

При условной стоимости залога около $30 млн, но практически полном отсутствии рыночной глубины, способной поглотить продажу, THE был сброшен в пустую книгу ордеров. После ликвидации цена рухнула примерно до $0,24, ниже уровня до атаки.

Ли сказал, что злоумышленник, вероятно, почти ничего не заработал ончейн и, возможно, даже потерял деньги, хотя отметил, что тот мог держать компенсирующие бессрочные фьючерсные позиции на внешних площадках. «Судя по ончейн-анализу, он почти не получил прибыли», — сказал Ли The Block. (Ли сообщил, что сам заработал около $15 000 на своей короткой позиции по бессрочному фьючерсному контракту, отслеживающему цену THE.)

Блокчейн-аналитик EmberCN оценил безнадежный долг примерно в $2,15 млн по непогашенным займам, состоящим из 1,18 млн токенов CAKE и 1,84 млн THE. EmberCN отметил, что атакующий адрес получил 7 400 ETH в качестве первоначального финансирования от криптомиксера Tornado Cash.

«Если кратко, он занял 9,92 млн U, чтобы раскачать ситуацию, но активы, заимствованные у Venus, стоили лишь $5,07 млн», — говорится в английском переводе поста EmberCN. «Если смотреть только на ончейн, это не выглядит прибыльным, но я подозреваю, что он доминировал в падении THE через ончейн-ликвидации, чтобы заработать на своих позициях на CEX».

Паттерн безнадежного долга

Этот инцидент пополняет длинную историю убытков Venus. Манипулирование ценой собственного токена Venus, XVS, в 2021 году оставило протокол с безнадежным долгом более чем на $95 млн. В 2022 году протокол принял на себя безнадежный долг на $14 млн из-за краха Terra/LUNA, а позже в том же году оказался затронут взломом моста BNB Chain, когда украденные BNB были использованы для займа стейблкоинов на $150 млн.

Атака через пожертвование на развертывание Venus в ZKSync в феврале 2025 года привела к безнадежному долгу более чем на $700 000 по почти идентичной схеме. Отдельная фишинговая атака на $13,5 млн, нацеленная на пользователя Venus, в сентябре 2025 года также вынудила протокол приостановить операции и провести экстренное голосование управления.

Вектор атаки через пожертвование, использованный в воскресном эксплойте, является известной уязвимостью в кредитных протоколах, созданных на основе форка Compound, и обсуждался в собственном аудите безопасности Venus от Code4rena, однако тогда команда оспорила этот вывод, утверждая, что пожертвования являются поддерживаемым поведением без негативных побочных эффектов.

Venus Protocol не ответил немедленно на запрос о комментарии.

Отказ от ответственности: The Block — независимое медиа, предоставляющее новости, исследования и данные. По состоянию на ноябрь 2023 года Foresight Ventures является мажоритарным инвестором The Block. Foresight Ventures инвестирует в другие компании в криптопространстве. Криптобиржа Bitget является якорным LP для Foresight Ventures. The Block продолжает работать независимо, чтобы предоставлять объективную, значимую и своевременную информацию о криптоиндустрии. Вот наши текущие финансовые раскрытия.

© 2026 The Block. Все права защищены. Эта статья предоставляется исключительно в информационных целях. Она не предлагается и не предназначена для использования в качестве юридической, налоговой, инвестиционной, финансовой или иной консультации.