Exploit de Venus sur BNB Chain : pertes de 2,15 millions de dollars et crash de XVS

Ces dernières heures, l’exploitation de Venus a mis en évidence les vulnérabilités des marchés DeFi sur BNB Chain, avec des répercussions sur le jeton de gouvernance XVS et l’écosystème plus large.

Détails de l’exploitation et impact immédiat sur XVS

Le protocole de prêt Venus a été victime d’une exploitation le 16 mars, générant environ 2,15 millions de dollars de créances douteuses et une baisse de plus de 9 % de la valeur du jeton de gouvernance XVS dans les 24 heures suivantes.

Le protocole, actif sur BNB Chain avec plus de 1,4 milliard de dollars de valeur totale verrouillée, a vu la pression de vente sur le jeton XVS s’intensifier seulement après qu’une analyse on-chain a révélé des mouvements importants vers les échanges par de gros détenteurs, y compris des portefeuilles liés à Justin Sun.

Par ailleurs, cette baisse s’inscrit dans un contexte plus large d’aversion au risque : l’indice CoinDesk 20 a perdu environ 4,6 % sur la même période, indiquant une correction générale des actifs numériques.

Comment l’exploitation de Venus s’est produite sur le marché Thena

L’attaque a ciblé le marché Thena au sein du protocole. Selon Venus, l’attaquant a passé environ neuf mois à accumuler une position importante en THE, le jeton de Thena, en utilisant environ 7 400 ETH provenant du mixer Tornado Cash, comme le rapporte la société d’analyse PeckShield.

Ensuite, l’attaquant a fait don de plus de 36 millions de THE directement au contrat vTHE. Cette opération a contourné les contrôles de plafond normaux et a augmenté le taux d’échange du marché d’environ 3,8 fois, créant une valeur comptable gonflée.

Avec cette valeur théorique plus élevée, l’attaquant a utilisé THE comme garantie pour emprunter d’autres actifs du protocole. De plus, il a continué à acheter THE sur un marché caractérisé par une liquidité réduite, amplifiant l’effet sur le prix.

Mouvement du prix de THE et réalisation des profits

Les acquisitions ont fait passer le prix de THE d’environ 0,26 $ à près de 0,56 $. Venus a précisé qu’il ne s’agissait pas d’une attaque par prêt flash, que les oracles de prix continuaient de fonctionner correctement, et que le module Venus Flux n’avait pas été affecté.

Cependant, lorsque l’attaquant a commencé à vendre THE, le prix a chuté de plus de 17 % en moins d’une journée, déclenchant une série de liquidations. Les analyses estiment que la valeur extraite avant les liquidations se situait entre 3,7 millions et 5,8 millions de dollars, sous forme d’actifs comme le bitcoin tokenisé, BNB et des stablecoins.

Dans l’ensemble, les dommages directs se sont principalement concentrés sur le jeton THE et, dans une moindre mesure, sur CAKE. Venus a souligné qu’aucune perte de fonds utilisateur n’a été constatée en dehors des pools impliqués.

Réponse du protocole Venus et mesures d’atténuation

En réponse à l’incident, le protocole a suspendu les nouveaux prêts et retraits liés à THE, a réinitialisé la valeur de garantie attribuée au jeton, et a renforcé les paramètres de risque sur d’autres marchés jugés potentiellement vulnérables.

Les marchés considérés comme à risque incluent ceux de BCH, LTC, AAVE, et d’autres actifs. De plus, Venus a indiqué que la faille de code permettant de contourner les contrôles de plafond dans le contrat vTHE est en cours de correction pour éviter une utilisation similaire à l’avenir.

Cela dit, le protocole a expliqué que l’adresse de l’attaquant avait déjà été signalée par la communauté avant l’incident. Cependant, Venus n’avait pas intervenu, car il n’y avait pas de violation de règles ni d’exploitation réelle au moment du rapport.

Décentralisation, gouvernance et couverture des pertes

L’incident a relancé le débat sur la nature permissionless des protocoles DeFi. Venus a rappelé qu’en tant que protocole décentralisé, il ne peut pas et ne doit pas geler ou mettre sur liste noire des adresses uniquement sur suspicion, soulignant la tension structurelle entre sécurité et ouverture.

La gouvernance de la plateforme devra maintenant décider comment couvrir la créance douteuse d’environ 2,15 millions de dollars, en envisageant l’utilisation du fonds de risque du protocole. Cette étape sera cruciale pour mesurer la résilience du modèle de gestion des risques et la capacité à absorber des événements extrêmes.

De plus, cet épisode constitue une nouvelle étude de cas pour les opérateurs DeFi, qui devront faire face à la dynamique d’accumulation lente de positions, à la manipulation des taux internes, et à l’exploitation des failles dans les contrôles de sécurité des marchés collatéralisés.