Venus Protocol подверглась атаке на лимит предложения, потеряв 3,7 миллиона долларов

Децентрализованная платформа кредитования Venus Protocol в воскресенье объявила, что в основном пуле обнаружена аномальная торговая активность, связанная с токеном Thena (THE). Согласно последнему расследованию партнера по управлению рисками Venus — Allez Labs, инцидент представляет собой тщательно спланированную манипуляцию лимитом поставки, которая длилась около 9 месяцев от планирования до реализации и в итоге привела к потерям свыше 3,7 миллиона долларов.

Полный разбор хода атаки: четыре этапа тщательного планирования

Расследование Allez Labs выявило полную логику работы атаки, которая делится на четыре ключевых этапа:

Первый этап: медленное накопление токенов в течение 9 месяцев. Начиная с июня 2025 года, злоумышленник постепенно накапливал токены THE, в итоге достигнув 84% лимита поставки, примерно 14,5 миллиона. Эта стратегия позволила избежать срабатывания систем риск-менеджмента платформы.

Второй этап: обход лимита поставки через прямой перевод. Злоумышленник не использовал стандартные процедуры депозита, а напрямую переводил токены в контракт протокола, полностью обходя механизм лимита поставки, в результате сформировав позицию в 53,2 миллиона THE, что в 3,67 раза превышает лимит.

Третий этап: манипуляция TWAP-оракулом. Используя структурные слабости в очень низкой ликвидности токена THE на блокчейне, злоумышленник через рекурсивные операции манипулировал TWAP (взвешенной по времени скользящей средней ценой), подняв цену THE с примерно 0,27 до около 0,53 доллара.

Четвертый этап: использование завышенной оценки залога для крупномасштабного займа. На фоне искусственно завышенной стоимости залога злоумышленник взял кредиты под залог 53,2 миллиона THE, получив доступ к различным высоколиквидным активам.

Детали украденных активов и экстренные меры платформы

В пиковый момент злоумышленник занял следующие активы:

• 6 670 000 CAKE (родной токен PancakeSwap)
• 2 801 BNB (родной токен BNB Chain)
• 1 970 WBNB
• 1 580 000 USDC
• 20 BTCB (токенизированный биткоин)

Venus Protocol немедленно приостановила все операции по кредитованию и выводам токена THE, а также для предотвращения дальнейших рисков — приостановила функции кредитования и вывода в высокоцентрализованных рынках с высокой ликвидностью, таких как BCH, LTC, UNI, AAVE, FIL и TWT. Остальные рынки протокола продолжают работу в обычном режиме.

Глубокие уроки по системным уязвимостям: слабости токенов с низкой ликвидностью

Этот инцидент выявил несколько системных рисков DeFi-кредитных протоколов: TWAP-оракулы для токенов с низкой ликвидностью легко могут быть манипулированы малыми операциями; механизмы ограничения поставки, не защищённые от прямых переводов в контракт, содержат технические уязвимости; а стратегия медленного накопления, продолжавшаяся 9 месяцев, показала потенциальные пробелы в мониторинге долгосрочного поведения протокола.

Часто задаваемые вопросы

Что такое «атака с лимитом поставки» в Venus Protocol?
Лимит поставки — это механизм безопасности, предназначенный для ограничения максимального количества одного актива, используемого в качестве залога. В данном случае злоумышленник обошёл этот механизм, напрямую переводя токены в контракт, достигнув 3,67-кратного превышения лимита, а затем, манипулируя оркулом, увеличил оценку залога и взял кредиты сверх допустимых лимитов.

Почему злоумышленнику удалось планировать такой длительный инцидент без обнаружения?
Злоумышленник использовал стратегию «низко и медленно» (Low and Slow), контролируя объемы залога так, чтобы не вызвать тревожных сигналов, и только после накопления 84% лимита поставки приступил к атаке. Такой подход позволяет обходить системы мониторинга, основанные на пороговых значениях, что подчеркивает необходимость более тонкого долгосрочного анализа поведения.

Какие меры предприняла Venus Protocol в ответ на инцидент?
Протокол немедленно приостановил все операции по кредитованию и выводам токена THE, а также для предотвращения дальнейших рисков — временно отключил функции кредитования в рынках с высокой концентрацией ликвидности, таких как BCH, LTC, UNI, AAVE, FIL и TWT. Другие рынки продолжают работу в штатном режиме. Allez Labs и команда по безопасности продолжают расследование и предоставляют обновления.