Tác giả:谷昱，ChainCatcher
Hackers là kẻ thù chết người của bất kỳ giao thức DeFi nào, phần lớn các giao thức DeFi sau khi chịu thiệt hại hàng triệu đô la do tấn công đều nhanh chóng suy sụp và suy yếu, nhưng như Venus Protocol, một trong những giao thức cho vay hàng đầu của BNB Chain, được Binance hậu thuẫn, rõ ràng là một ngoại lệ hiếm hoi.
Venus ban đầu do nhóm Swipe của Binance phát triển, được ra mắt vào tháng 6 năm 2020, một tháng sau khi BNB Chain chính thức hoạt động, nhanh chóng trở thành giao thức cho vay lớn nhất về tài sản khóa và người dùng trên BNB Chain. Theo RootData, hiện tại token Venus có FDV là 94 triệu USD và TVL là 1,47 tỷ USD.
Gần đây, Venus lại trở thành mục tiêu tấn công của hacker. Theo báo cáo của đội ngũ chính thức, kẻ tấn công bắt đầu từ tháng 6 năm 2025, tích lũy từ từ token THE qua quy trình gửi tiền bình thường, cuối cùng nắm giữ khoảng 12,2 triệu THE, trị giá 2,4 triệu USD.
Vào ngày 15 tháng 3, kẻ tấn công đã dùng toàn bộ token THE làm tài sản thế chấp trong hợp đồng vay, lợi dụng tính thanh khoản thấp của THE trên chuỗi cộng với độ trễ của TWAP oracle để thực hiện thao túng giá theo vòng lặp đệ quy, vay được các tài sản trị giá hàng triệu USD như BTC, BNB, CAKE.
Khi giá THE sụp đổ gây ra các cuộc thanh lý liên hoàn, sự kiện này cuối cùng gây thiệt hại khoảng 2,15 triệu USD cho Venus. Nhìn lại lịch sử vài năm qua, Venus gần như mỗi năm đều bị tấn công bởi hacker, đặc biệt là các cuộc tấn công oracle, khiến tổng thiệt hại vượt quá 100 triệu USD.
Sự kiện thao túng giá oracle XVS
Tháng 5 năm 2021, một hacker lợi dụng điểm yếu về thanh khoản thấp của token XVS trên các sàn tập trung (chủ yếu là Binance), đã đẩy giá XVS từ khoảng 70 USD lên hơn 140 USD trong thời gian ngắn. Sau đó, hacker dùng XVS làm tài sản thế chấp để vay một lượng lớn tài sản chất lượng cao từ Venus (khoảng 2000 BTC và 5700 ETH).
Sau đó, giá XVS giảm mạnh, xuống còn 31 USD, kích hoạt các cuộc thanh lý quy mô lớn. Do thanh khoản thị trường không đủ để hỗ trợ lượng thanh lý lớn này, Venus đã thiệt hại hơn 95 triệu USD.
Sau sự kiện này, giao thức tuyên bố nhóm Swipe rút khỏi quản lý, và cộng đồng thành viên cùng nhau thành lập hội đồng mới để tiếp quản quản trị, nhưng vẫn có nền tảng vững chắc từ Binance.
Sự kiện sụp đổ LUNA
Tháng 5 năm 2022, trong vụ sụp đổ của LUNA, giá thực của LUNA trong thời gian ngắn đã giảm xuống dưới 0,1 USD, nhưng do oracle Chainlink ngừng cập nhật sau khi giá giảm đến ngưỡng 0,10 USD, Venus vẫn nhận LUNA làm tài sản thế chấp với giá sai lệch “cao”.
Phát hiện ra lỗ hổng này, hacker đã mua số lượng lớn LUNA trên thị trường thứ cấp với giá thấp, gửi vào Venus để thế chấp với giá ảo cao, vay các tài sản khác, gây ra thiệt hại hơn 11,2 triệu USD.
Sự cố Oracle Binance
Tháng 12 năm 2023, do Venus sử dụng dữ liệu giá từ Binance Oracle trong pool cho snBNB có tính thanh khoản thấp, hacker đã mua snBNB trong pool nhỏ trên PancakeSwap, do độ sâu thanh khoản rất mỏng, giá snBNB bị đẩy lên mức phi lý trong chớp mắt.
Sau đó, hacker gửi vào 0,49 snBNB và vay gần như toàn bộ tài sản trong pool (bao gồm WBNB, BNBx, ankrBNB, v.v.), trị giá khoảng 274,000 USD, rồi rút ra qua cầu nối chuỗi chéo. Cuối cùng, quản trị Venus đã đề xuất và dùng quỹ dự trữ để bù đắp toàn bộ khoản thiệt hại này.
Sự kiện thao túng giá oracle wUSDM
Tháng 2 năm 2024, một hacker lợi dụng lỗ hổng trong hợp đồng ERC-4626 đã đẩy giá stablecoin wUSDM do Mountain Protocol phát hành lên mức 1,7 USD trong thời gian ngắn, rồi gửi một lượng nhỏ wUSDM vào Venus.
Do oracle đọc giá bị thao túng, hacker dùng các tài sản thế chấp có giá trị ảo này để vay các tài sản khác trong pool (như USDC, ETH). Khi giá wUSDM trở lại bình thường là 1 USD, hacker đã chuyển đi các tài sản vay và không trả lại, gây thiệt hại khoảng 716,000 USD cho Venus sau khi thanh lý.
Tranh cãi về quản trị cộng đồng
Ngoài các vụ tấn công trên, Venus còn gây tranh cãi vào tháng 9 năm 2021 khi một người dùng đề xuất “thành lập nhóm Bravo”, nhằm trao quyền bỏ phiếu và huy động vốn ngang bằng với nhóm quản trị ban đầu.
Tuy nhiên, người đề xuất đã hứa hẹn phân phát token để lôi kéo bỏ phiếu. Theo đề xuất, trong số 1,9 triệu XVS dự kiến huy động, nhóm Bravo sẽ phân phát 900,000 XVS (tương đương 29 triệu USD) cho các địa chỉ bỏ phiếu ủng hộ. Cuối cùng, đề xuất này được thông qua với 1,29 triệu phiếu ủng hộ và 1,19 triệu phản đối vào tối ngày 14 tháng 9.
Theo nguyên tắc ngành, sau khi đề xuất được bỏ phiếu thông qua, thường sẽ do nhóm thực thi. Tuy nhiên, đội ngũ Venus đã “hủy bỏ một cú nhấn nút” quyết định này, nhằm ngăn chặn các cá nhân ẩn danh thao túng bằng hối lộ. Đây là một trong số ít các trường hợp trong DeFi, đề xuất hoặc bỏ phiếu trên chuỗi được thông qua nhưng không được thực thi.
Thêm vào đó, vào tháng 9 năm 2025, Venus đã xảy ra một vụ mất an toàn khiến người dùng thiệt hại hơn 13 triệu USD, nhưng nguyên nhân chính là do phần mềm giao diện người dùng bị hacker tấn công, lừa người dùng ký các giao dịch ủy quyền “ủy quyền địa chỉ (delegate)”, chứ không phải do lỗ hổng của Venus.
Tại sao Venus trở thành “người sống sót”
Nhìn lại các vụ tấn công này, Venus có thể coi là “người sống sót” hiếm hoi trong lĩnh vực tiền mã hóa, hoặc đã trở thành dự án có nhiều kinh nghiệm nhất trong việc đối phó với hacker. Điều này phần lớn nhờ vào sự hậu thuẫn liên tục của Binance về nguồn lực và thương hiệu, dù đã xảy ra nhiều sự cố an ninh, Binance vẫn trực tiếp hướng dẫn người dùng gửi tiền vào Venus để hưởng lợi suất cao hơn.
Thống kê TVL trên chuỗi Venus theo nguồn: DeFillama
Như đã biết, Binance nắm giữ quyền quyết định tuyệt đối trong hệ sinh thái BNB Chain. Là đối tượng chính được Binance hỗ trợ trong lĩnh vực cho vay, Venus luôn có lợi thế về mặt hệ sinh thái và khả năng bảo vệ rủi ro mà phần lớn các dự án DeFi khác không có, dù có thể tồn tại một số rủi ro an ninh.
Từ góc độ ngành, tính dễ tổn thương của DeFi cũng được thể hiện rõ qua các trường hợp này. Dù là trì hoãn oracle, tài sản thanh khoản thấp, thao túng giá hay lỗ hổng cơ chế quản trị, tất cả đều đã lặp lại trong lịch sử của Venus và nhiều dự án DeFi khác.
Trong hệ thống DeFi tự động hóa cao, chỉ cần một khâu có thiết kế sai, hacker có thể lợi dụng giá cả, thanh khoản hoặc chênh lệch thời gian để xây dựng các cuộc tấn công chênh lệch phức tạp.
Khả năng tồn tại sau nhiều cuộc khủng hoảng của Venus phần lớn dựa vào sự hỗ trợ mạnh mẽ của hệ sinh thái và khả năng bù đắp tài chính. Nhưng đối với phần lớn các dự án DeFi, một vụ tấn công trị giá hàng chục triệu USD cũng đủ để khiến toàn bộ giao thức sụp đổ.
Sự “ngoại lệ” của Venus vừa chứng minh khả năng bảo vệ của hệ sinh thái hàng đầu, vừa phản ánh sự mong manh của hệ thống an ninh DeFi — khi an toàn chỉ dựa vào “đại gia bảo vệ”, chứ không phải cơ chế kiểm soát rủi ro của chính giao thức, thì an toàn thực sự của DeFi vẫn còn nhiều chặng đường phía trước.
