El token de gobernanza de Venus (XVS), un mercado monetario basado en BNB Chain con más de $1.4 mil millones en valor total bloqueado, ha caído más del 9% en 24 horas tras una explotación que le dejó $2.15 millones en deuda morosa.
La retracción se produce en medio de una venta generalizada de activos de riesgo que ha hecho que el índice CoinDesk 20 (CD20) pierda el 4,6% de su valor en el mismo período.
La explotación, que ocurrió el 16 de marzo, no pareció afectar los precios de XVS hasta que el análisis mostró que grandes tenedores, incluidos monederos vinculados a Justin Sun, movían grandes cantidades a exchanges.
Venus said que el exploit, en su mercado Thena, dejó aproximadamente $2.15 millones en deuda mala o préstamos que el sistema ya no puede recuperar.
El atacante, según el protocolo, dedicó aproximadamente nueve meses acumulando una gran posición en el token THE de Thena. Esa acumulación, según PeckShield, fue financiada con 7.400 ETH retirados del protocolo de mezcla Tornado Cash.
El atacante luego donó más de 36 millones de THE directamente al contrato vTHE, omitiendo las verificaciones normales de límite y aumentando la tasa de cambio del mercado en aproximadamente 3.8 veces. Venus dijo que la brecha en el código que permitió al atacante omitir estas verificaciones está siendo cerrada.
Con ese mayor valor en papel, el atacante publicó THE como garantía, tomó prestados otros activos y compró más THE en un mercado poco líquido, según Venus.
La compra ayudó a elevar THE de aproximadamente $0.26 a cerca de $0.56. Venus dijo que esto no fue un ataque de préstamo flash, sus oráculos siguieron funcionando y Venus Flux no se vio afectado.
Cuando el atacante vendió posteriormente THE, el precio cayó más del 17% en menos de un día y siguieron las liquidaciones. Analysis estima que el valor extraído antes de las liquidaciones fue de aproximadamente $3.7 millones a $5.8 millones, con activos que incluyen bitcoin tokenizado, BNB y stablecoins siendo retirados.
El daño se limitó principalmente al token THE y, en menor medida, a CAKE. También indicó que no se perdieron fondos de usuarios fuera de las piscinas afectadas.
El protocolo suspendió los préstamos y retiros de THE, redujo el valor de la garantía de THE a cero y reforzó las reglas en otros mercados identificados como de riesgo en respuesta al incidente. Los mercados en riesgo incluyen aquellos para BCH$457.10, LTC$55.40, aave AAVE$114.90, entre otros.
La dirección atacante había sido marcada por la comunidad antes del incidente. Venus no actuó porque “no se habían violado reglas y no se había producido ninguna explotación”, dijo.
“Venus es un protocolo descentralizado. Como un protocolo sin permiso, no podemos ni debemos congelar o incluir en listas negras direcciones basándonos únicamente en sospechas”, escribió el protocolo en redes sociales. “Esta es una tensión inherente al DeFi, y una que tomamos en serio.”
Se espera que la gobernanza decida cómo cubrir la pérdida mediante el fondo de riesgo de Venus.