Venus Protocol: инцидент на рынке THE произошёл из-за уязвимости в лимите предложения, а не из-за атаки с использованием флэш-кредита

Odaily сообщил, что Venus Protocol опубликовал заявление по поводу инцидента на рынке THE, отметив, что данный случай не является атакой с использованием flash loan, а был вызван эксплуатацией уязвимости в старом коде протокола, связанной с лимитом поставки. Команда заявила, что злоумышленник в течение примерно 9 месяцев постепенно накапливал токены THE, постепенно устанавливая доминирующее положение поставщика на Venus.

В объявлении отмечается, что злоумышленник обошёл стандартный процесс депозита, напрямую переводя токены THE в контракт протокола, что позволило ему превысить лимит поставки в 14.5 миллионов THE. Используя низкую ликвидность на блокчейне, он манипулировал ценой на DEX. Когда внешняя цена постепенно отражалась TWAP-оракулом, злоумышленник, используя завышенную стоимость залога, циклически брал в долг активы (например, CAKE, BNB и др.), затем покупал ещё больше THE, повышая цену, и продолжал переводить THE на рынок vTHE для увеличения стоимости залога. Этот цикл поднял цену с примерно 0.27 долларов до примерно 0.53 долларов, а после ликвидации позиции в протоколе осталась задолженность.

Venus сообщил, что в настоящее время рынок THE приостановлен, коэффициент залога снижен до 0 и вывод средств приостановлен. В качестве меры предосторожности коэффициенты залога также снижены до 0 на восьми рынках: BCH, LTC, AAVE, POL, FIL, TWT, UNI и lisUSD. Команда и партнёры по безопасности продолжают расследование и в дальнейшем опубликуют полный отчёт по итогам инцидента.