Venus Protocol Freezes Seven Markets Following $3.7M Exploit Via THENA's Low-Liquidity THE Token ヴィーナスプロトコルがTHENAの低流動性THEトークン経由での370万ドルの悪用に伴い7つの市場をフリーズ

Venus Protocolは、BNB Chain上で最大のレンディング市場であり、2026年3月15日に370万ドルの攻撃を受けました。攻撃者は、9か月間にわたりTHENAの流動性の低いTHEトークンの価格を操作し、「供給上限」攻撃を仕掛けました。

この事件により、プロトコルは推定215万ドルの不良債権を抱え、Venusは集中リスクに備えて7つの追加市場の担保比率をゼロに引き下げました。

攻撃者は、暗号ミキサーTornado Cashから7,400 ETHを資金提供され、Venus上のTHEの薄い流動性を利用して価格を0.27ドルからほぼ5ドルまで吊り上げ、その後清算により0.24ドルに崩壊させました。

攻撃手法：9か月間の蓄積とオラクル操作

セキュリティ研究者とVenusのリスクマネージャーであるAllez Labsは、複数段階の戦略を通じて安全策を回避した巧妙な仕組みを詳細に解説しています。

「低速・長期」蓄積フェーズ

2025年6月から、攻撃者は通常の預入チャネルを通じて徐々にTHEトークンを蓄積し、約9か月間にわたり行いました。この戦略により、供給上限の84%、約1,220万THEを標準的なリスク警告を発さずに蓄積できました。

供給上限のバイパス：直接移転

3月15日、攻撃者は標準のミント手順を経ずにTHEトークンをvTHEコントラクトに直接送信し、攻撃を実行しました。この「寄付攻撃」と呼ばれる手法は、Compoundフォークのプロトコルにおける既知の脆弱性であり、供給量を一気に上限の3.67倍に膨らませ、大規模な担保基盤を作り出しました。

再帰的価格操作

過大な担保ポジションを確立した攻撃者は、THEの極端に低いオンチェーン流動性とTWAP（時間加重平均価格）オラクルの遅延を利用し、次のループを開始しました。

• 膨らんだTHE担保を預入
• BTCB、CAKE、BNBなど他の資産を借り入れ
• 借りた資金でさらにTHEをオンチェーンで購入
• TWAPオラクルの更新を待ち、操作された高値を反映させる

この結果、攻撃者は約667万CAKE、2801 BNB、158万USDC、20 BTCBを借り入れ、清算メカニズムが作動する前に資産を引き出しました。

緊急リスク緩和：7市場の担保凍結

攻撃に対応し、システムリスクの拡大を防ぐため、Venus Protocolは高い担保集中リスクのある市場に対して緊急のパラメータ変更を実施しました。

凍結対象の市場

Venusは、単一ユーザーの担保集中率が60％を超える7つの市場の担保比率（CF）をゼロに引き下げました。

その他のVenus市場は通常通り運用中で、今回の措置の影響はありません。

市場の脆弱性基準

凍結対象となった市場は以下の条件を満たすものです。

• 時価総額が20億ドル未満
• 日次取引高が1億ドル未満
• DEXの総ロック価値（TVL）が4000万ドル未満
• 単一ユーザーの担保集中率が60％超

事件の影響とプロトコルの背景

この攻撃は、2021年以降に蓄積されたVenus Protocolのセキュリティ課題の一部です。

過去の不良債権蓄積

• 2021年XVS操作：VenusのXVSトークンの価格操作による9500万ドル超の不良債権
• 2022年Terra/LUNA崩壊：1400万ドルの不良債権
• 2022年BNB Chainブリッジハッキング：盗まれたBNBを使い、1億5000万ドルのステーブルコインを借り入れ
• 2025年2月寄付攻撃：VenusのZKSync展開で70万ドルの不良債権を発生させる同様の手法

これらの事件後、プロトコルの総ロック価値（TVL）は最大70億ドルから約14.7億ドルに減少しています。

THENAは、攻撃においてスマートコントラクトの侵害はなく、プラットフォーム上のユーザ資金は安全であると確認しています。

調査継続と今後の報告

Venus Protocolは、調査完了後に詳細な事後報告書を公開することを約束しています。

Venusのリスク管理パートナーであるAllez Labsは、攻撃の経路を分析し、4段階の攻撃プロセスの予備的な調査結果を共有しています。

よくある質問

DeFiレンディングにおける「供給上限攻撃」とは何ですか？

供給上限攻撃は、単一資産の最大担保使用量を制限する安全策を回避する攻撃です。本事件では、攻撃者はTHEトークンをコントラクトに直接送ることで、Venusの供給上限を超えた担保ポジションを作り出し、その後価格操作を行って過剰な資産を借り入れました。

Venus Protocolの攻撃で盗まれた資産は何ですか？

攻撃者は、膨らませたTHE担保を使い、約507万ドル相当の資産を借り出しました。内訳は、2172 BNB、151万6千CAKE、20 BTCBです。ただし、オンチェーンの清算により、約215万ドルの不良債権が発生し、約118万CAKEと184万THEが返済されませんでした。

Venus Protocolは攻撃にどう対応しましたか？

Venus Protocolは、すぐに全てのTHEトークンの借入と引き出しを停止しました。さらに、リスク集中を防ぐために、Bitcoin Cash（BCH）、Litecoin（LTC）、Uniswap（UNI）、Aave（AAVE）、Filecoin（FIL）、Trust Wallet Token（TWT）、lisUSDの担保比率をゼロに引き下げました。その他の市場は通常通り運用されています。