#VenusProtocolSuspectedFlashLoanAttack

DeFiエコシステムは2026年3月15日に大きな衝撃を受けました。BNB Chain上の主要なレンディングプラットフォームであるVenus Protocolが高度な攻撃の標的となり、370万ドルを超えるデジタル資産を失いました。これは単なるハッキングではなく、低流動性とオラクルメカニズムを悪用した、数ヶ月にわたる複雑な作戦でした。

ここでは、何が起きたのか、どのように実行されたのか、その後の影響について詳しく解説します。

📅 ターゲット：Venus Protocol

Venusは、ユーザーが担保を提供して他の資産を借りることができる分散型レンディングプロトコルです。攻撃者は、比較的流動性の低いトークンであるThena (THE)を用いて、そのCore Poolを狙いました。

🕵️ ステップバイステップ：エクスプロイトの解剖

この攻撃は、長期的な蓄積戦略と短期的なフラッシュローンを用いた価格操作を組み合わせたものでした。

フェーズ1：長期戦略 ( 2025年6月～2026年3月 )
攻撃者は長期的な視点で行動しました。2025年6月から始まり、通常のチャネルを通じてTHEトークンを徐々に蓄積。9ヶ月間で、プロトコルのTHE供給上限の約84%、約1450万トークンを集めました。

フェーズ2：エクスプロイト ( 2026年3月15日 )
ここで「疑わしいフラッシュローン」の要素が登場します。

1. 供給上限の迂回：通常の預入ではなく、攻撃者は大量のTHEを直接プロトコルコントラクトに送信し、標準的な供給制限を超えました。これにより、5,320万THEの担保ポジションが作られ、許容上限の約3.7倍に達しました。
2. 価格操作：この人為的に膨らませた担保を用いて、攻撃者は以下のループを行いました：
· THEを預入
· 膨らんだTHEの価値に対して他の資産を借り入れ
· 借りた資産を使って分散型取引所（DEX）でより多くのTHEを購入し、その価格を押し上げる
· TWAP（時間加重平均価格）オラクルがこの新高値を反映するまで待つ
· このサイクルにより、THEの価格は$0.263からほぼ$0.563まで上昇し、担保の価値もさらに膨らみました。
3. 資産の引き出し：人為的に高騰した担保価値を背景に、攻撃者はVenusプールから以下の資産を大量に借り出しました：
· 約20BTCB（ラップドビットコイン）
· 約150万CAKEトークン
· 約200BNB
· 約158万USDC
4. 退出と崩壊：資産を引き出した後、攻撃者は残ったTHEを売却し、その価格を元に戻しました（約$0.22）。これにより、Venusは価値のないTHE担保と、約215万ドルの不良債権を抱えることになりました。

⚡️ フラッシュローンの役割は何か？

「疑わしいフラッシュローン攻撃」と呼ばれていますが、その仕組みを理解することが重要です。フラッシュローンは、同一ブロック内で借入と返済を完結させることで、担保なしで巨額の資金を借りることが可能です。

・攻撃の開始に使われたのか？最初のTHE蓄積は長期的なポジションを示唆しています。
・攻撃の増幅に使われたのか？はい。THEの価格操作のための再帰的購入は、フラッシュローンによる資金調達で行われた可能性が高く、初期資本リスクなしで市場をコントロールできました。

📉 直後の影響

・市場の混乱：THEの価格は24時間で17%以上下落し、大規模な清算が発生。市場の反応により、THEの取引高は5500%以上急増しました。
・プロトコルの対応：Venusは迅速に行動し、被害拡大を防ぎました：
· 全ての借入と引き出しを一時停止
· 高リスク市場（BCH、LTC、UNI、AAVE、FIL、TWT、lisUSD）の担保係数（CF）をゼロに設定し、7つの市場の担保比率を引き下げ
· 他の市場は影響を受けておらず、正常に運用されていることを確認

🔒 DeFiの重要ポイント

この事件は、DeFiの持つ脆弱性を浮き彫りにしています：

1. 低流動性＝高リスク：流動性の低いトークンは価格操作の標的になりやすい。
2. オラクルの遅延：標準的なTWAPオラクルは、リアルタイムの操作を反映できない場合に悪用される可能性がある。
3. 長期的な計画：すべての攻撃が一瞬で完了するわけではなく、長期の準備と最終的な爆発的取引を組み合わせたものも存在する。

Venusは、調査完了後に詳細な報告書を公開するとしています。これは、許可のない金融システムに潜むリスクの一例として、改めて警鐘を鳴らすものです。

( )()