#VenusProtocolSuspectedFlashLoanAttack

Hệ sinh thái DeFi đã bị động chân trên ngày 15 tháng 3 năm 2026, khi Venus Protocol, một nền tảng cho vay hàng đầu trên BNB Chain, trở thành nạn nhân của một cuộc tấn công tinh vi, dẫn đến mất hơn $3,7 triệu tài sản kỹ thuật số. Đây không phải là một hack đơn giản mà là một hoạt động phức tạp kéo dài nhiều tháng, khai thác tính thanh khoản thấp và các cơ chế oracle.

Dưới đây là một bản phân tích đầy đủ về những gì đã xảy ra, cách nó được thực hiện, và hậu quả.

📅 Mục tiêu: Venus Protocol

Venus là một giao thức cho vay phi tập trung nơi người dùng có thể cung cấp tài sản đảm bảo để vay các tài sản khác. Kẻ tấn công nhắm vào Core Pool của nó bằng cách sử dụng Thena (THE), một token có tính thanh khoản tương đối thấp.

🕵️ Từng bước: Giải phẫu của lỗ hổng

Cuộc tấn công kết hợp chiến lược tích lũy dài hạn với thao tác giá ngắn hạn bằng cách sử dụng flash loan.

Giai đoạn 1: Trò chơi dài hạn (Tháng 6 năm 2025 - Tháng 3 năm 2026)
Kẻ tấn công đã chơi trò chơi dài hạn. Bắt đầu từ tháng 6 năm 2025, họ từng chút một tích lũy token THE thông qua các kênh bình thường. Trong chín tháng, họ đã tích lũy khoảng 84% của giới hạn cung cấp THE của giao thức (khoảng 14,5 triệu token).

Giai đoạn 2: Khai thác (15 tháng 3 năm 2026)
Đây là nơi xuất hiện yếu tố "suspected flash loan".

1. Vượt qua giới hạn cung cấp: Thay vì gửi tiền bình thường, kẻ tấn công đã chuyển khối tài sản THE khổng lồ trực tiếp vào hợp đồng giao thức, vượt qua các giới hạn tiêu chuẩn. Điều này tạo ra một vị thế đảm bảo 53,2 triệu THE—gần như gấp 3,7 lần giới hạn cho phép.
2. Thao tác giá: Với tài sản đảm bảo được phóng đại nhân tạo này, kẻ tấn công đã tham gia vào một vòng lặp đệ quy:
· Gửi THE.
· Vay các tài sản khác dựa trên giá trị THE được phóng đại.
· Sử dụng các tài sản đã vay để mua thêm THE trên các sàn giao dịch phi tập trung (DEXs), đẩy giá lên.
· Chờ cho oracle TWAP (Time-Weighted Average Price) cập nhật, phản ánh giá mới cao hơn này.
· Chu kỳ này đã đẩy giá THE từ $0,263 lên gần $0,563, làm phóng đại thêm giá trị đảm bảo.
3. Thoát nước tài sản: Với giá trị đảm bảo cao một cách không tự nhiên, kẻ tấn công đã vay các tài sản đáng kể từ nhóm Venus, bao gồm:
· ~20 BTCB (Bitcoin được bọc)
· ~1,5 triệu token CAKE
· ~200 BNB
· ~1,58 triệu USDC
4. Lối thoát: Một khi các tài sản đã được rút hết, kẻ tấn công đã đổ số lượng THE còn lại, làm sụp giá nó trở lại thực tế (khoảng $0,22). Điều này để lại cho Venus một đống tài sản đảm bảo THE vô giá trị và khoản nợ xấu khoảng $2,15 triệu.

⚡️ Flash Loan đóng vai trò gì?

Mặc dù được gọi là "suspected flash loan attack", điều quan trọng là phải hiểu cơ chế. Flash loan cho phép người dùng vay số tiền khổng lồ mà không cần tài sản đảm bảo ban đầu, miễn là tiền được hoàn trả trong cùng một khối blockchain.

· Nó có được sử dụng để bắt đầu cuộc tấn công không? Sự tích lũy ban đầu cho thấy một vị thế dài hạn.
· Nó có được sử dụng để khuếch đại cuộc tấn công không? Có. Việc mua THE đệ quy để thao tác giá có lẽ được tài trợ bởi flash loans, cho phép kẻ tấn công kiểm soát thị trường mà không có rủi ro vốn ban đầu.

📉 Hậu quả trực tiếp

· Hỗn loạn thị trường: Giá THE sụp đổ trên 17% trong 24 giờ, kích hoạt các cuộc thanh lý hàng loạt. Khối lượng giao dịch cho THE tăng vọt hơn 5500% khi thị trường phản ứng.
· Phản ứng giao thức: Venus đã hành động nhanh để ngăn chặn thiệt hại tiếp theo:
· Tạm dừng tất cả $THE vay và rút tiền(.
· Giảm Collateral Factor )CF( xuống 0 cho bảy thị trường có rủi ro cao )BCH, LTC, UNI, AAVE, FIL, TWT, và lisUSD#DeFi nơi một người dùng nắm giữ một phần không tương xứng của tài sản đảm bảo.
· Xác nhận rằng tất cả các thị trường khác vẫn không bị ảnh hưởng và hoạt động bình thường.

🔒 Những hiểu biết chính cho DeFi

Sự cố này làm nổi bật những lỗ hổng dai dẳng trong DeFi:

1. Thanh khoản thấp = Rủi ro cao: Token có thanh khoản thấp là mục tiêu chính để thao tác giá.
2. Độ trễ Oracle: Sự phụ thuộc vào các oracle TWAP tiêu chuẩn có thể bị khai thác nếu chúng không cập nhật đủ nhanh để phản ánh thao tác thời gian thực.
3. The Long Con: Không phải tất cả các cuộc tấn công đều xảy ra trong một khối; cái này kết hợp một năm chuẩn bị với một giao dịch cuối cùng, nổ ngoài.

Venus đã nêu rõ họ sẽ phát hành một báo cáo đầy đủ sau khi điều tra hoàn tất. Hiện tại, điều này là một lời nhắc nhở khác về những rủi ro trong các hệ thống tài chính không có phép.

#VenusProtocol #CryptoNews #BNBChain