Кібератака на Venus Protocol: втрати сягнули мільйонів
Криптокредитний протокол Venus, що функціонує в екосистемі BNB Chain, став жертвою ретельно спланованої атаки, яка базувалася на маніпуляції ціною токена THE. Результатом дій зловмисника стало формування так званого “поганого боргу” на суму близько 2,18 мільйона доларів США. Загальна сума активів, виведених з платформи, оцінюється приблизно в 3,7 мільйона доларів США.
Використання флеш-кредитів та складних схем
Згідно з аналізом, проведеним експертами LookOnChain та BlockAid, зловмисник застосував багатоетапну стратегію. Початковий етап включав отримання 7400 ETH через сервіс Tornado Cash. Далі, використовуючи ці ETH як заставу в протоколі Aave, хакер отримав позику приблизно на 9,9 мільйона доларів США у вигляді стейблкоїнів.
Штучне підвищення ціни токена та виведення коштів
Ці кошти були спрямовані на масовий викуп токена THE через декілька криптовалютних гаманців. Ця дія призвела до штучного завищення його вартості на ринку. Паралельно, зловмисник працював над підвищенням ціни THE на централізованих біржах, що дозволило йому використати 36,1 мільйона токенів як заставу в протоколі Venus. Це, в свою чергу, дало змогу отримати активи на суму 5,07 мільйона доларів США. Серед виведених цінностей фігурували близько 2172 BNB, 1,5 мільйона доларів США у CAKE та 20 BTC.
Реакція команди Venus та рекомендації експертів
Представники Venus Protocol в офіційному зверненні в соціальній мережі X зазначили: “Ми виявили незвичайну активність, пов’язану з пулом $THE, і активно проводимо розслідування. Наразі, схоже, що постраждали лише ринки $THE та $CAKE. Ми будемо ділитися оновленнями в міру просування розслідування. Дякуємо за ваше терпіння та підтримку”. Після завершення маніпулятивних дій, хакер почав активно продавати THE на централізованих біржах, що спровокувало стрімке падіння його вартості. Це, своєю чергою, викликало каскад ліквідацій у протоколі Venus, коли вартість застави перестала покривати обсяг позик, що призвело до формування згаданого “поганого боргу”. Аналітики підкреслюють, що основний прибуток зловмисника, найімовірніше, був отриманий завдяки відкриттю “довгих” позицій перед штучним підвищенням ціни THE та “коротких” позицій перед її падінням на централізованих майданчиках. “Хакер маніпулював ціною $THE та експлуатував @VenusProtocol у мережі BSC. У результаті в системі залишився “поганий борг” на $2,18 млн”, — резюмують експерти LookOnChain.
Обмеження та захисні заходи
У відповідь на інцидент, команда Venus тимчасово призупинила операції з позичання та виведення токена THE. Також було знижено коефіцієнти застави до нуля для певних активів, зокрема стейблкоїна lisUSD. Нові обмеження введено для ринків з ринковою капіталізацією менше 2 мільярдів доларів США, добовим обсягом торгів менше 100 мільйонів доларів США, TVL (Total Value Locked) на децентралізованих біржах (DEX) менше 40 мільйонів доларів США, та концентрацією застави від одного користувача понад 60%. Решта ринків протоколу функціонує у штатному режимі. Фахівці з кібербезпеки Blockaid закликали користувачів тимчасово утриматися від взаємодії з протоколом, не підписувати дозволи на делеговане позичання та відкликати вже надані дозволи. “Система виявлення експлойтів Blockaid зафіксувала атаку, що триває, на @VenusProtocol через зловживання механізмом делегованого запозичення. Будь ласка, тимчасово припиніть будь-яку взаємодію з Venus, не підписуйте дозволи на делегування та негайно відкличте вже надані права делегування”, — попередили у Blockaid.
Історія інцидентів та ризики DeFi
Варто зазначити, що це не перший серйозний фінансовий інцидент для протоколу Venus. З 2021 року загальні втрати платформи від зломи та експлойтів перевищили 260 мільйонів доларів США. Наприклад, у вересні 2025 року протокол був змушений призупинити свою діяльність через фішингову атаку, спрямовану на великих користувачів (так званих “китів”). Цей останній інцидент ще раз наголошує на високих ризиках, пов’язаних з маніпуляціями низьколіквідними токенами в секторі децентралізованих фінансів (DeFi), а також нагальну потребу в ефективному контролі концентрації застави на окремих адресах для запобігання каскадним ліквідаціям та значним фінансовим збиткам.
Хакери вкотре зламали BNB Chain: з платіжної системи GANA Payment викрадено понад $3,1 млн, токен впав на 90%
Джерело: X (LookOnChain)
Думка UA Finansy: Цей інцидент ще раз демонструє вразливість DeFi-протоколів до складних маніпуляцій цінами активів, навіть у добре налагоджених екосистемах, як BNB Chain. Це підкреслює необхідність постійного вдосконалення механізмів безпеки та більш проактивного моніторингу ризиків з боку розробників, аби захистити користувачів від подібних втрат.
Інформація підготовлена на основі матеріалів: itc.ua