#VenusProtocolNghi ngờ Tấn công Flash Loan

Hệ thống DeFi đã bị động chạm vào ngày 15 tháng 3 năm 2026, khi Venus Protocol, một nền tảng cho vay hàng đầu trên BNB Chain, trở thành nạn nhân của một cuộc tấn công tinh vi, dẫn đến mất hơn $3,7 triệu tài sản kỹ thuật số. Đây không phải là một hack đơn giản mà là một hoạt động phức tạp kéo dài nhiều tháng đã khai thác tính thanh khoản thấp và các cơ chế oracle.
Dưới đây là phân tích chi tiết về những gì đã xảy ra, cách nó được thực hiện và hậu quả.
📅 Mục tiêu: Venus Protocol
Venus là một giao thức cho vay phi tập trung nơi người dùng có thể cung cấp tài sản đảm bảo để vay các tài sản khác. Kẻ tấn công nhắm vào Core Pool của nó bằng cách sử dụng Thena (THE), một token có tính thanh khoản tương đối thấp.
🕵️ Từng bước: Giải phẫu Kỹ thuật Khai thác
Cuộc tấn công kết hợp chiến lược tích lũy dài hạn với thao túng giá ngắn hạn bằng cách sử dụng flash loan.
Giai đoạn 1: Trò chơi dài hạn (Tháng 6 năm 2025 - Tháng 3 năm 2026)
Kẻ tấn công đã chơi trò chơi dài hạn. Bắt đầu từ tháng 6 năm 2025, họ từng chút một tích lũy các token THE thông qua các kênh bình thường. Trong chín tháng, họ đã tích lũy được xấp xỉ 84% giới hạn cung cấp THE của giao thức (khoảng 14,5 triệu token).
Giai đoạn 2: Khai thác (Ngày 15 tháng 3 năm 2026)
Đây là nơi xuất hiện yếu tố "tấn công flash loan được nghi ngờ".
1. Bỏ qua Giới hạn cung cấp: Thay vì gửi bình thường, kẻ tấn công đã chuyển các cổ THE khổng lồ trực tiếp vào hợp đồng giao thức, bỏ qua các giới hạn cung cấp tiêu chuẩn. Điều này tạo ra vị trí tài sản đảm bảo 53,2 triệu THE—gần gấp 3,7 lần giới hạn cho phép.
2. Thao túng giá: Với tài sản đảm bảo được tăng giá nhân tạo này, kẻ tấn công đã tham gia vào một vòng lặp đệ quy:
· Gửi THE.
· Vay các tài sản khác dựa trên giá trị THE được tăng giá.
· Sử dụng các tài sản được vay để mua thêm THE trên các sàn giao dịch phi tập trung (DEX), đẩy giá lên.
· Chờ oracle TWAP (Giá bình quân có trọng số theo thời gian) cập nhật, phản ánh giá mới cao hơn này.
· Chu kỳ này đã đẩy giá THE từ $0,263 lên gần $0,563, tiếp tục tăng giá trị tài sản đảm bảo.
3. Làm cạn kiệt tài sản: Với giá trị tài sản đảm bảo cao vô cùng nhân tạo, kẻ tấn công đã vay các tài sản đáng kể từ pool Venus, bao gồm:
· ~20 BTCB (Bitcoin được bao bọc)
· ~1,5 triệu token CAKE
· ~200 BNB
· ~1,58 triệu USDC
4. Lối thoát: Sau khi các tài sản được cạn kiệt, kẻ tấn công đã bán hết các cổ THE còn lại, khiến giá của nó rơi xuống thực tế (khoảng $0,22). Điều này để lại Venus với một đống tài sản đảm bảo THE vô giá trị và **nợ xấu khoảng $2,15 triệu.
⚡️ Vai trò của Flash Loan là gì?
Mặc dù được gọi là "tấn công flash loan được nghi ngờ", điều quan trọng là phải hiểu cơ chế. Flash loan cho phép người dùng vay khoản tiền khổng lồ mà không cần tài sản đảm bảo ban đầu, miễn là tiền được hoàn lại trong cùng một khối blockchain.
· Nó có được sử dụng để bắt đầu cuộc tấn công không? Sự tích lũy ban đầu gợi ý một vị trí dài hạn.
· Nó có được sử dụng để khuếch đại cuộc tấn công không? Có. Việc mua THE đệ quy để thao túng giá có thể được tài trợ bởi flash loan, cho phép kẻ tấn công kiểm soát thị trường mà không có rủi ro vốn ban đầu.
📉 Hậu quả ngay lập tức
· Hỗn loạn thị trường: Giá THE rơi xuống 17% trong 24 giờ, kích hoạt các cuộc thanh lý hàng loạt. Khối lượng giao dịch cho THE tăng vọt hơn 5500% khi thị trường phản ứng.
· Phản ứng giao thức: Venus đã hành động nhanh chóng để ngăn chặn thiệt hại tiếp theo:
· Tạm dừng tất cả $THE vay mượn và rút tiền.
· Giảm Hệ số tài sản đảm bảo (CF) xuống 0 cho bảy thị trường rủi ro cao (BCH, LTC, UNI, AAVE, FIL, TWT, và lisUSD) nơi một người dùng duy nhất nắm giữ một phần không cân xứng của tài sản đảm bảo.
· Xác nhận rằng tất cả các thị trường khác vẫn không bị ảnh hưởng và hoạt động.
🔒 Những bài học chính cho DeFi
Sự cố này làm nổi bật các lỗ hổng dai dẳng trong DeFi:
1. Tính thanh khoản thấp = Rủi ro cao: Các token có tính thanh khoản thấp là mục tiêu chính cho thao túng giá.
2. Oracle Lag: Sự phụ thuộc vào oracle TWAP tiêu chuẩn có thể bị khai thác nếu họ không cập nhật đủ nhanh để phản ánh thao túng theo thời gian thực.
3. Trò chơi hành lâu: Không phải tất cả các cuộc tấn công đều xảy ra trong một khối; cuộc này kết hợp một năm chuẩn bị với một giao dịch cuối cùng, nổ tung.
Venus đã tuyên bố họ sẽ phát hành một báo cáo đầy đủ sau khi điều tra hoàn tất. Hiện tại, điều này phục vụ như một lời nhắc nhở tanh tạo khác về những rủi ro trong các hệ thống tài chính không có sự cho phép.
#DeFi #VenusProtocol #CryptoNews #BNBChain