367% прибыли из воздуха – так хакер-одиночка обставил Venus Protocol
Платформа Venus Protocol ужесточила требования к залогам после потери 3,6 миллиона долларов.
Венчурные проекты в блокчейне снова напомнили, насколько хрупкой бывает их экономика. Платформа кредитования Venus Protocol на BNB Chain потеряла около $3,6 млн после продуманной атаки, в которой злоумышленник сыграл на слабой ликвидности токена и механике мгновенных займов.
Специалисты выяснили, что подготовка заняла несколько месяцев. За это время злоумышленник скупал THE – нативный токен проекта Thena. В итоге удалось собрать около 14,5 млн THE, что составляет примерно 84% от находящихся в обращении монет.
Затем злоумышленник перевёл токены в систему кредитования Venus Protocol, обойдя стандартную процедуру внесения средств. Такой ход позволил создать искусственную позицию, значительно превышающую реальный объём предложения токена. В пиковый момент в схеме фигурировало около 53,2 млн THE – на 367% больше фактического объёма в обращении.
Дальше в ход пошла классическая схема с многократными циклами. Злоумышленник закладывал THE в качестве обеспечения, брал займы в других активах и на полученные средства скупал ещё больше THE. Каждый новый цикл поднимал цену токена в оракуле, создавая иллюзию роста спроса и раздувая стоимость залога.
Когда система достигла предела, злоумышленник вывел активы. Общий ущерб составил около $3,6 млн. Среди похищенного – 6,67 млн PancakeSwap, 2801 BNB, 1,97 тыс. WBNB, 1,58 млн USD Coin и 20 Bitcoin BEP2.
Команда Venus Protocol после инцидента приостановила рынок THE и ужесточила требования к залоговым активам. Новые правила повышают пороги обеспечения и ограничивают работу с токенами с низкой ликвидностью или высокой концентрацией у крупных держателей. Теперь такие активы должны соответствовать более строгим критериям по капитализации, объёму торгов и распределению предложения.
Под новые ограничения попали шесть активов, включая Bitcoin Cash, Litecoin, Uniswap, Aave, Filecoin и Trust Wallet Token.
Проблемы с безопасностью у платформы возникают не впервые. В сентябре 2025 года Venus Protocol потеряла около $27 млн из-за фишинговой атаки, которая дала злоумышленнику доступ к контроллеру основного пула. Тогда использовался вредоносный контракт, позволивший управлять активами iToken, включая vUSDC и vETH.
Несмотря на новый инцидент, общий объём заблокированных средств на платформе пока держится на уровне около $1,47 млрд и не показал резкого падения сразу после атаки.