En las últimas horas, el exploit de Venus ha evidenciado las vulnerabilidades de los mercados DeFi en BNB Chain, con repercusiones en el token de gobernanza XVS y en el ecosistema más amplio.
Summary
Detalles del exploit e impacto inmediato en XVS
El protocolo de préstamos Venus fue afectado por un exploit el 16 de marzo, que generó aproximadamente 2,15 millones de dólares de deuda incobrable y una caída de más del 9% en el valor del token de gobernanza XVS en las 24 horas siguientes.
El protocolo, activo en BNB Chain y con más de 1,4 mil millones de dólares en valor total bloqueado, vio intensificarse la presión de venta sobre el token XVS solo después de que el análisis on-chain destacara movimientos significativos hacia los exchange por parte de grandes tenedores, incluidos wallet vinculados a Justin Sun.
Mientras tanto, la caída se insertó en un contexto de mayor aversión al riesgo: el índice CoinDesk 20 perdió aproximadamente 4,6% en el mismo período, indicando una corrección generalizada en los activos digitales.
Cómo ocurrió el exploit de Venus en el mercado de Thena
El ataque afectó al mercado de Thena dentro del protocolo. Según Venus, el atacante pasó aproximadamente nueve meses acumulando una posición significativa en el token THE de Thena, utilizando como fuente de capital alrededor de 7.400 ETH retirados del mezclador Tornado Cash, como informó la empresa de análisis PeckShield.
Posteriormente, el atacante donó más de 36 millones de tokens THE directamente al contrato vTHE. Esta operación eludió los controles normales de límites y aumentó la tasa de cambio del mercado en aproximadamente 3,8 veces, creando un valor contable inflado.
Con este valor teórico más alto, el atacante utilizó THE como colateral para pedir prestados otros activos del protocolo. Además, continuó comprando THE en un mercado caracterizado por baja liquidez, amplificando el efecto en los precios.
Movimiento de precios de THE y realización de beneficios
Las adquisiciones impulsaron el precio de THE de aproximadamente 0,26 dólares hasta casi 0,56 dólares. Venus aclaró que no se trató de un ataque mediante flash loan, que los oráculos de precios continuaron funcionando correctamente y que el módulo Venus Flux no se vio afectado.
Sin embargo, cuando el atacante comenzó a vender THE, el precio cayó más del 17% en menos de un día, desencadenando una serie de liquidaciones. Los análisis estiman que el valor extraído antes de las liquidaciones oscila entre 3,7 millones y 5,8 millones de dólares, en forma de activos como bitcoin tokenizado, BNB y stablecoin.
En general, el daño directo se concentró en gran medida en el token THE y, en menor medida, en CAKE. Venus subrayó que no se registraron pérdidas de fondos de los usuarios fuera de los pools involucrados.
Respuesta del protocolo Venus y medidas de mitigación
En respuesta al incidente, el protocolo suspendió los nuevos préstamos y retiros relacionados con THE, anuló el valor de colateral atribuido al token y endureció los parámetros de riesgo en otros mercados considerados potencialmente vulnerables.
Los mercados señalados como en riesgo incluyen aquellos para BCH, LTC, AAVE y otros activos. Además, Venus declaró que la falla en el código que permitió eludir los controles de límite en el contrato vTHE está en proceso de corrección, para evitar un uso similar en el futuro.
Dicho esto, el protocolo explicó que la dirección del atacante ya había sido señalada por la comunidad antes del incidente. Sin embargo, Venus no había intervenido, ya que no se registraron violaciones de las reglas o exploits efectivos en el momento de la señalización.
Descentralización, gobernanza y cobertura de pérdidas
El incidente ha reavivado el debate sobre la naturaleza permissionless de los protocolos DeFi. Venus recordó que, como protocolo descentralizado, no puede ni debe congelar o incluir en listas negras direcciones solo sobre la base de sospechas, destacando la tensión estructural entre seguridad y apertura.
La gobernanza de la plataforma deberá ahora decidir cómo cubrir la deuda incobrable de aproximadamente 2,15 millones de dólares, evaluando el uso del fondo de riesgo del protocolo. Esta fase será crucial para medir la resiliencia del modelo de gestión de riesgos y la capacidad de absorber eventos extremos.
Además, el episodio representa un nuevo caso de estudio para los operadores DeFi, que deberán enfrentarse a las dinámicas de acumulación lenta de posiciones, manipulación de tasas internas y explotación de lagunas en los controles de seguridad de los mercados colateralizados.
