15 марта лендинговая платформа Venus Protocol на BNB Chain подверглась хакерской атаке. Целью злоумышленника стал токен THE от DeFi-проекта Thena.
Мошенник воспользовался низкой ликвидностью THE и провернул классическую манипуляцию ценовым оракулом. Он вносил токен как залог, брал под него взаймы другие активы, сразу же покупал на них дополнительные THE и повторял цикл. Все действия строго синхронизировались с моментами обновления данных временного оракула.
Возможность для подобного вектора атаки появилась после того, как Venus добавила THE в список залоговых активов своего основного пула.
Детали атаки
Одним из первых на инцидент обратил внимание ончейн-специалист Вэйлинь Ли. По его словам, хакер искусственно поднял курс монеты с $0,27 до почти $5.
Эксперт сравнил атаку с взломом DeFi-платформы Mango Markets, который произошел в 2022 году.
Для обхода лимита на депонирование THE в Venus злоумышленник применил так называемую donation attack. Он перевел токены напрямую в смарт-контракт vTHE в обход стандартной процедуры выпуска. Это искусственно завысило обменный курс платформы и позволило обойти установленное ограничение.
После первого раунда заимствований временной оракул Venus обновил цену THE до $0,5. Показатель существенно отставал от спотовых котировок, но почти вдвое превышал исходный уровень.
Атакующий попытался раскрутить цикл дальше, докупая THE на заемные средства, но не выдержал давления продавцов. Показатель здоровья (health factor) опустился почти до единицы, и протокол ликвидировал позицию.
Номинальное обеспечение достигало $30 млн, но рыночной глубины для такой продажи не нашлось — THE рухнул в пустой стакан. После ликвидации цена упала до $0,24.
Хакер ничего не заработал
По словам Ли, хакер практически ничего не заработал и, вероятно, даже ушел в минус. Однако он не исключил, что злоумышленник хеджировался через бессрочные фьючерсы на сторонник площадках.
Аналитик под ником EmberCN оценил невозвратный долг Venus в $2,15 млн — это непогашенные займы в размере 1,18 млн CAKE и 1,84 млн THE. Он также обратил внимание, что стартовый капитал атакующего (7400 ETH) поступил из миксера Tornado Cash.
«Он занял 9,92 млн USDT, чтобы устроить переполох, но активы, выведенные из Venus, стоили всего $5,07 млн. В ончейне картина убыточная, но я подозреваю, что он играл на понижение THE через ликвидации и зарабатывал на CEX», — отметил эксперт.
Напомним, в марте 2025 года Venus потерял более $716 000 из-за аналогичной атаки с манипулированием оракула.