Venus Protocol 在通过 THENA 的低流动性 THE 代币发生 370 万美元的漏洞后，已冻结七个市场

Venus协议，BNB链上最大的借贷市场，于2026年3月15日遭遇了370万美元的漏洞攻击，攻击者通过九个月的“供应上限”攻击操控了THENA的低流动性THE代币价格。

此次事件导致协议估计有215万美元的不良债务，为防范集中风险，Venus将另外七个市场的抵押因子降至零。

攻击者使用来自加密货币混币器Tornado Cash的7400 ETH资金，利用Venus上THE的薄弱流动性，将其价格从0.27美元推高至近5美元，然后在清算触发后回落至0.24美元。

攻击方法：九个月的积累与预言机操控

安全研究人员和Venus的风险管理方Allez Labs详细描述了此次漏洞背后的复杂机制，该机制通过多阶段策略绕过了协议的安全措施。

“缓慢积累”阶段

从2025年6月开始，攻击者通过正常存款渠道逐步积累THE代币，历时约九个月。这一策略使其在未触发标准风险警报的情况下，累计了供应上限的84%——大约1220万THE。

通过直接转账绕过供应上限

3月15日，攻击者通过直接转账THE代币到vTHE合约，而非通过标准的铸币流程，实施了“捐赠攻击”。这一已知的漏洞在Compound分叉协议中存在，瞬间将已知供应膨胀至上限的3.67倍，形成了庞大的抵押基础。

递归式价格操控

在建立了超大抵押仓位后，攻击者利用THE在链上的极低流动性和TWAP（时间加权平均价格）预言机的延迟，启动了递归循环：

• 存入膨胀的THE抵押品
• 借出其他资产（包括BTCB、CAKE和BNB）
• 使用借来的资金在链上购买更多THE
• 等待TWAP预言机更新，反映被操控的高价

攻击者成功借出了约667万CAKE、2801 BNB、158万USDC和20个BTCB，随后触发清算机制。

紧急风险缓解措施：七个市场抵押冻结

为应对此次漏洞并控制潜在系统性风险，Venus协议对高集中度市场实施了紧急参数调整。

受影响市场的冻结措施

Venus将以下七个市场的抵押因子（CF）降至0，因这些市场存在单一用户抵押集中度超过60%的风险：

其他所有Venus市场仍正常运营，未受影响。

市场易受攻击的标准

冻结措施针对的市场特征包括：

• 市值低于20亿美元
• 日交易量低于1亿美元
• DEX总锁仓价值（TVL）低于4000万美元
• 单一用户抵押集中度超过60%

事件影响与协议背景

此次漏洞事件加剧了Venus协议的安全挑战，自2021年以来，协议已累计多次不良债务。

历史不良债务积累

• 2021年XVS操控：因操控Venus自有XVS代币价格，产生9500万美元以上的不良债务
• 2022年Terra/LUNA崩盘：1400万美元不良债务
• 2022年BNB链桥被攻：被盗BNB用于借出1.5亿美元稳定币
• 2025年2月捐赠攻击：在Venus的ZKSync部署中，采用相同机制产生70万美元不良债务

这些事件后，协议的总锁仓价值（TVL）从峰值70亿美元下降至约14.7亿美元。

THENA确认其智能合约未被攻破，平台用户资金仍然安全。

持续调查与未来报告

Venus协议表示将坚持透明，调查完成后会发布全面的事后分析报告。

Venus的风险管理合作伙伴Allez Labs仍在分析攻击路径，并已分享初步发现，详细描述了四个阶段的利用过程。

常见问题解答

DeFi借贷中的“供应上限攻击”是什么？

供应上限攻击绕过了协议限制单一资产作为抵押的最大额度的安全机制。在此次事件中，攻击者通过直接转账THE代币到协议合约，而非通过正常的铸币流程，成功创建了比预期上限大3.67倍的抵押仓位，随后利用操控的价格预言机借出过多资产。

在Venus协议漏洞中被盗的资产有哪些？

攻击者利用膨胀的THE抵押品，从Venus借出了约507万美元的资产，包括2172个BNB、151.6万CAKE和20个BTCB。然而，链上清算过程导致协议估算有215万美元的不良债务，主要包括约118万CAKE和184万THE未偿还。

Venus协议如何应对此次漏洞？

Venus立即采取紧急措施，暂停所有THE代币的借贷和提现。作为更广泛的预防措施，协议将另外七个市场的抵押因子降至零，包括比特币现金（BCH）、莱特币（LTC）、Uniswap（UNI）、Aave（AAVE）、Filecoin（FIL）、Trust Wallet Token（TWT）和lisUSD。其他市场则继续正常运营。