Venus Protocol (XVS) : le premier prêteur de BNB Chain et les attaques sur collatéral qui lui coûtent cher

Venus Protocol est le marché de prêt que les utilisateurs de BNB Chain rencontrent en premier : on y dépose du BNB, du bitcoin ou des stablecoins, on touche des intérêts et on emprunte contre ces dépôts. Le 12 novembre 2026, DefiLlama comptait 1,07 milliard de dollars de valeur totale verrouillée dans le Core Pool de Venus, dont 99,7 % sur BNB Chain, soit plus que tout autre prêteur de ce réseau. Partout ailleurs, Venus reste modeste.

C’est aussi un prêteur au dossier d’incidents chargé. Des collatéraux peu échangés ont été gonflés puis empruntés en 2021, en 2025 et de nouveau en mars 2026, et chaque fois Venus s’est retrouvé avec des créances irrécouvrables. La dernière proposition de son forum, publiée le 12 novembre, change la façon dont le nouveau Liquidity Hub compte ses propres actifs, afin que des jetons envoyés directement vers lui ne puissent plus gonfler sa valeur.

Ce qu’est Venus Protocol : un prêteur à la Compound avec son propre stablecoin

Venus a démarré en 2020 sur ce qui s’appelait alors Binance Smart Chain. Sa documentation le décrit comme la réunion de deux idées plus anciennes : des marchés monétaires dans le style de Compound, où prêteurs et emprunteurs se retrouvent dans des pools communs, et un stablecoin créé contre collatéral à la manière de MakerDAO, ici baptisé VAI. Le profil de Binance Research de 2020 indique que le développement était entièrement financé par l’équipe de Swipe, une société de carte crypto, et qu’aucune vente de jetons n’avait eu lieu.

Le jeton de gouvernance XVS a d’abord été distribué via Binance Launchpool à partir du 29 septembre 2020. Joselito Lizarondo a été présenté comme le fondateur de Venus par Forklog en 2021 et par Protos en 2023 ; la documentation ne mentionne aucune équipe.

La mécanique suit de près celle de Compound. Un prêteur qui dépose des USDT reçoit des vUSDT, un vToken dont le taux de change face à l’USDT monte à mesure que les emprunteurs paient des intérêts. Un emprunteur doit d’abord déposer un collatéral ; chaque actif a un facteur de collatéral qui plafonne ce qu’on peut emprunter contre lui. Si les prix bougent et que le prêt dépasse cette limite, n’importe qui peut rembourser une partie de la dette et saisir du collatéral avec une décote. Notre guide du prêt et de l’emprunt en crypto détaille ces règles de façon générale, et le guide des liquidations en DeFi explique ce qui se passe quand le collatéral ne suffit plus.

Core Pool, pools isolés et E-Mode

L’essentiel des fonds se trouve dans le Core Pool de BNB Chain, géré par un contrat appelé Comptroller. Tous les actifs y partagent le même profil de risque : un dépôt de BTCB peut garantir un prêt en USDT, en CAKE ou en THE. Les pools isolés, ajoutés en 2023, séparent les actifs plus risqués pour qu’un problème reste cantonné à son pool ; plusieurs ont depuis été abandonnés, et DefiLlama n’y comptait qu’environ 0,8 million de dollars le 12 novembre.

L’E-Mode permet d’emprunter des actifs corrélés les uns contre les autres à de meilleures conditions. La proposition VIP-664 du 3 octobre 2026 a par exemple ouvert un E-Mode ETH où le wBETH, l’ether staké de Binance, compte avec un facteur de collatéral de 90 % et un seuil de liquidation de 93 %. Des limites plus hautes aident les emprunteurs ; elles laissent aussi moins de marge avant une liquidation si les deux prix s’écartent.

Le Liquidity Hub : un dépôt, plusieurs destinations

La couche la plus récente est le Liquidity Hub. Pour chaque actif, il existe un coffre construit sur le standard ERC-4626 : un prêteur dépose par exemple des USDT et reçoit une part dont la valeur face à l’USDT grandit avec le temps, au lieu d’un solde qui se réajuste. La gouvernance décide ensuite où va l’argent, à l’aide de deux listes ordonnées, l’une pour les dépôts et l’autre pour les retraits.

Les destinations citées par la documentation sont le Core Pool, Venus Flux (un prêt construit avec Fluid), des coffres à taux fixe, des parts de fonds tokenisées de Centrifuge et des pools « spoke » que le Hub finance directement. Chaque destination a un plafond en dollars et un plafond en part du Hub, et le plus strict s’applique. Un retrait supérieur à la liquidité disponible n’est pas exécuté en partie : il échoue en entier. Les frais de gestion, de performance et de rachat ont été fixés à 0 % au lancement.

Le Hub reste petit. Le rapport d’octobre 2026 publié sur le forum par Allez Labs, le gestionnaire de risques de Venus, indique que les dépôts sont passés de 5,5 millions de dollars le 1er octobre à 17,6 millions le 31 octobre, dont 93 % (16,3 millions) prêtés au Core Pool et environ 1 million placés en parts de fonds Centrifuge. Venus Flux détenait environ 1,2 million de dollars sur DefiLlama le 12 novembre.

Des marchés spoke qui acceptent des ETF tokenisés

Le 23 octobre 2026, trois propositions, de VIP-668 à VIP-670, ont ouvert les premiers marchés spoke financés par le Hub. Le premier est un pool où QQQB et SPYB, des jetons qui suivent les fonds Nasdaq 100 et S&P 500, peuvent servir de collatéral pour emprunter de l’USDT ou de l’USDC. À la fin d’octobre, les trois Hubs n’y avaient prêté qu’environ 0,1 million de dollars. Bailsec et Sherlock ont tous deux publié des audits du code des pools spoke datés du 23 octobre.

VAI, le stablecoin

Le VAI est créé contre le collatéral déposé sur Venus. Ses frais de stabilité ont une base fixe et une part flottante qui monte quand le VAI cote sous 1 dollar, ce qui renchérit l’emprunt de VAI quand l’ancrage faiblit ; un module de stabilité de l’ancrage échange VAI et USDT. Le VAI est petit : la page de CoinGecko montrait environ 2,48 millions de VAI en circulation le 12 novembre, et un plus bas historique de 0,5792 dollar. Aucun dollar en banque ne le garantit ; il repose sur des prêts en crypto, et la documentation des oracles précise que le prix du VAI lui-même provient d’une source unique, sans prix pivot ni solution de repli.

Comment Venus évalue le collatéral : le Resilient Oracle

Chaque prêt dépend du prix que Venus attribue au collatéral : l’oracle est donc la cible des attaquants. Venus utilise ce qu’il appelle un Resilient Oracle. Pour chaque actif, la gouvernance choisit une source principale, une source pivot facultative et une source de repli, parmi Chainlink, RedStone, le flux propre de Binance, Atlas et APRO, plus des adaptateurs pour les jetons qui suivent un autre actif, comme le wBETH ou l’asBNB. Le prix principal n’est accepté que s’il reste dans une bande, en général de 5 % ou de 1 %, autour du pivot. La documentation est franche sur la limite : là où aucun pivot n’est activé, le prix principal est utilisé sans recoupement.

Une protection plus récente, le Protection Mode, couvre les collatéraux peu échangés. Quand le prix au comptant s’écarte brusquement de sa fourchette récente, le Comptroller valorise ce collatéral au plus bas du prix au comptant et du minimum de la fenêtre, et valorise la dette au plus haut des deux. Une envolée soudaine ne permet donc plus d’emprunter davantage. Les liquidations utilisent toujours le prix au comptant. La documentation indique un seuil de déclenchement de 16,67 % d’écart pour les actions tokenisées TSLAB, NVDAB, SPCXB et SKHYB, dans une configuration datée du 28 septembre 2026 (VIP-663).

Qui contrôle Venus : votes en XVS, trois timelocks et gardiens

Les changements passent par des Venus Improvement Proposals (VIP) votées avec le XVS. Un auteur de proposition doit se voir déléguer 1 000 000 de XVS. Une proposition passe si les votes pour dépassent les votes contre et atteignent au moins 1 500 000 XVS ; elle peut contenir jusqu’à 100 actions on-chain.

Les propositions approuvées attendent ensuite dans un timelock. Sur BNB Chain, la documentation indique trois voies : Normal, avec 48 heures de délai ; Fast-track, avec 6 heures ; et Critical, avec 1 heure. La voie Critical existe toujours, mais la VIP-645 a retiré toutes les permissions qu’elle détenait sur les déploiements de Venus, si bien qu’elle ne peut plus exécuter d’action privilégiée. Les urgences reposent désormais sur des gardiens, qui détiennent des droits étroits, propres à chaque action, accordés par un Access Control Manager, comme suspendre les emprunts sur un marché. La documentation insiste : un gardien n’est pas un administrateur global. Elle ne publie ni les adresses des gardiens, ni les signataires derrière eux, ni un seuil de multisig, et invite les intégrateurs à lire les permissions en vigueur sur la chaîne.

Le développement au quotidien est assuré par Venus Labs, un groupe rémunéré par la DAO. En avril 2025, Venus Labs a demandé à un vote Snapshot 1,7 million de dollars pour couvrir le second semestre 2024, contre 1,49 million pour le premier ; le vote recueillait 100 % de soutien au moment de la publication, selon The Block. Venus Labs n’a ni entité juridique ni juridiction publiées. La gestion des risques est achetée à Allez Labs : la proposition du 12 novembre comprend un paiement de 105 000 USDC pour ses services du 26 octobre 2026 au 25 janvier 2027.

Le token XVS : 30 millions au plus, aucune part pour l’équipe, et ce que touchent les détenteurs

L’offre maximale de XVS est de 30 millions. Le profil de Binance Research de 2020 donne la répartition d’origine : 20 % (6 millions de XVS) via Binance Launchpool, 1 % pour l’écosystème de BNB Chain et 79 % pour le minage par les utilisateurs du protocole, partagés entre prêteurs, emprunteurs et créateurs de VAI. Il ne mentionne ni part pour l’équipe ou des investisseurs, ni calendrier de vesting. Le 12 novembre, la page de CoinGecko affichait une offre totale de 29,745 millions et une offre en circulation de 16,892 millions.

Jeton de vote avant tout, le XVS ne se détient pas pour toucher des frais. Pour voter, les détenteurs doivent le verrouiller dans le XVS Vault et déléguer, même à eux-mêmes : selon la documentation, le simple staking n’active pas le pouvoir de vote. Les dépôts dans le coffre rapportent des récompenses en XVS fixées par la gouvernance, 535 XVS par jour sur BNB Chain pour le troisième trimestre 2026, et comptent pour Venus Prime, un programme qui verse un rendement supplémentaire aux gros détenteurs de longue durée du coffre grâce à des jetons Prime non transférables.

La destination des revenus est détaillée dans la page de tokenomics. Les revenus de réserve, surtout une part des intérêts des emprunteurs, sont répartis ainsi : 40 % au trésor, 40 % à Prime et 20 % au Risk Fund. Les revenus de liquidation vont à 60 % au trésor, 20 % à Prime et 20 % au Risk Fund. Un déploiement n’alimente Prime et le Risk Fund qu’à partir du moment où il dépasse en moyenne 50 000 dollars de revenus par mois sur six mois ; Ethereum et Arbitrum envoient pour l’instant tout au trésor.

Depuis la VIP-620 de mai 2026, les revenus du protocole sont convertis par des contrats TokenBuyback, un opérateur hors chaîne achetant les actifs cibles, dont du XVS pour le trésor. Depuis la VIP-638, exécutée le 1er juillet 2026, la part qui récompensait le XVS Vault va à Prime. Un simple détenteur de XVS obtient donc un pouvoir de vote et des récompenses de coffre que la gouvernance peut modifier, pas un droit direct sur les frais. La méthodologie de DefiLlama décrit encore 40 % des revenus d’intérêts d’emprunt comme allant aux détenteurs, ce qui se lit autrement que la répartition de Venus elle-même.

TVL, frais et revenus de Venus Protocol en novembre 2026

DefiLlama comptait 1 066,3 millions de dollars de TVL dans le Core Pool de Venus à 19 h 27 UTC le 12 novembre 2026, contre 1 129,1 millions le 6 novembre et 1 273,0 millions le 14 octobre. BNB Chain en détenait 1 062,8 millions ; Ethereum, Arbitrum, zkSync et Base réunis environ 3,5 millions. Les emprunts s’élevaient à 337,2 millions. La TVL est ici le total des dépôts moins les prêts, ce qui explique que le rapport de Venus, qui compte l’offre brute, donne 1,48 milliard de dollars pour la fin octobre.

Les frais, c’est-à-dire les intérêts payés par les emprunteurs plus les revenus de liquidation, ont atteint 41 598 dollars sur 24 heures, 303 089 dollars sur sept jours et 1,03 million de dollars sur 30 jours au 12 novembre, et 159,8 millions depuis le lancement. L’essentiel de ces intérêts revient aux prêteurs : DefiLlama chiffre les revenus propres du protocole à 192 364 dollars sur les mêmes 30 jours.

Le rapport d’octobre, publié le 10 novembre, donne la vue de l’intérieur. La dette a reculé de 16,9 % sur le mois, à 337 millions de dollars, et l’utilisation globale était de 23 %, mais l’USDC et l’USDT étaient empruntés à 92,5 % et 84,3 %, ce qui peut ralentir les retraits de stablecoins quand la demande culmine. Les plus gros dépôts étaient le BTCB (402,8 millions de dollars), le BNB (394,7 millions), l’USDT (169,0 millions) et le SolvBTC (155,6 millions) : Venus est avant tout un endroit où emprunter des stablecoins contre du BNB et du bitcoin.

Le même rapport compte 23 134 comptes endettés, les quatre plus gros emprunteurs devant 58 millions de dollars (17,2 % du total, contre 22,9 % un mois plus tôt). Son compte le plus exposé, un emprunteur contre du BTCB, avait un facteur de santé de 1,14 et 16,3 millions de dollars de collatéral menacés si le bitcoin perdait 30 %. Les tests de résistance chiffrent les créances irrécouvrables à environ 1,0 million de dollars après une nouvelle baisse des prix de 30 % et à 35,3 millions après une baisse de 60 %, contre 0,4 million et 23,1 millions à la fin de septembre.

Venus Protocol est-il sûr ? Les incidents depuis 2021

Aucun prêteur n’est sans risque, et le dossier de Venus montre où se situent les siens : des collatéraux qu’on peut faire bouger, les oracles, et sa proximité avec Binance et BNB Chain.

Mai 2021 : l’envolée du XVS et environ 95 millions de dollars de créances irrécouvrables

Dans la nuit du 18 au 19 mai 2021, le cours du XVS a bondi de près de 90 %, de 76 à 144 dollars, selon The Block. Des emprunteurs qui avaient déposé du XVS en collatéral ont profité de ce prix plus haut pour emprunter massivement ; quand le XVS est retombé, plus de 200 millions de dollars de positions ont été liquidés et le protocole s’est retrouvé avec plus de 95 millions de dollars de créances irrécouvrables, surtout en bitcoin et en ether, d’après The Block, ou 100 millions selon Forklog. Igor Igamberdiev, chercheur à The Block, a soutenu que la faible liquidité du XVS sur Binance rendait le cours facile à manipuler ; Lizarondo a répondu que le protocole avait fonctionné comme prévu et que Venus utiliserait du XVS pour combler le manque. L’épisode sert de modèle aux attaques suivantes : un jeton accepté en collatéral sur Venus se déplace plus facilement que ne le supposaient les limites de Venus.

Mai 2022 : un prix du LUNA figé

Pendant l’effondrement de Terra, Chainlink a suspendu son flux LUNA à son plancher intégré, et Venus a continué à valoriser le LUNA à environ 0,107 dollar alors qu’il s’échangeait près de 0,01. Des attaquants ont déposé du LUNA bon marché et emprunté contre lui. Les pertes rapportées vont d’environ 11,2 millions de dollars (Cointelegraph, 13 mai 2022) à environ 13,5 millions (Forklog et Rekt). Venus a annoncé que son Risk Fund couvrirait le manque. Le protocole a été suspendu puis rouvert le 16 mai avec les flux de prix coupés, de sorte que les utilisateurs ne pouvaient que déposer et rembourser, et la proposition VIP-61 a ramené à zéro les facteurs de collatéral du LUNA et de l’UST.

2022 et 2023 : le pirate du pont de BNB Chain devenu emprunteur

Après l’attaque d’octobre 2022 contre le pont inter-chaînes de BNB Chain, l’attaquant a déposé environ 200 millions de dollars de BNB sur Venus et obtenu un prêt de 110 millions de dollars en stablecoins contre eux, a rapporté DL News. La position était assez grosse pour menacer le protocole si le BNB baissait, et en novembre 2022 la DAO a voté pour faire de BNB Chain l’unique liquidateur de ce compte. En août 2023, environ 63 millions de dollars de la position ont été liquidés, selon Bloomberg. L’épisode a montré à quel point une position unique sur Venus dépend de décisions prises autour de Binance et de BNB Chain.

Février 2025 : une attaque par donation sur zkSync

Le 27 février 2025, un attaquant a utilisé un flash loan d’Aave pour gonfler le taux de change du wUSDM, un jeton de coffre du marché zkSync de Venus, en envoyant de l’USDM directement au coffre, puis s’est servi du prix faussé pour liquider et extraire de la valeur. Un post-mortem de Chaos Labs sur le forum de Venus a chiffré les créances irrécouvrables à 902 159 dollars et la perte nette à 716 789 dollars, après frais de liquidation ; Rekt donne les mêmes chiffres. Le texte relève que le standard de coffre ERC-4626 ne protège pas contre des taux de change manipulés de cette façon.

Septembre 2025 : un utilisateur hameçonné et 13,5 millions de dollars récupérés

Le 2 septembre 2025, un utilisateur de Venus a perdu environ 13 millions de dollars après avoir installé un faux client Zoom piégé, selon l’analyse de SlowMist. L’attaquant a agi par l’ordinateur compromis de la victime et non par une faille des contrats, que Venus a dit intacts. Venus a suspendu le protocole, la DAO a voté la liquidation de la position de l’attaquant, et 13,5 millions de dollars ont été récupérés, a rapporté Cointelegraph. Le cas montre jusqu’où la gouvernance peut intervenir sur un compte précis quand elle le décide.

Mars 2026 : le marché THE

Le 15 mars 2026, un attaquant a fait passer le prix du THE, le jeton de l’exchange Thena, d’environ 0,27 à près de 5 dollars sur une seule plateforme, selon le chercheur Weilin Li cité par The Block, alors que le prix retenu par Venus n’est monté qu’à environ 0,50. Pour contourner le plafond d’offre du THE, vérifié seulement quand des jetons passaient par la fonction de dépôt normale, l’attaquant a transféré du THE directement au contrat vTHE, ce qui a relevé son taux de change, puis a enchaîné dépôts, emprunts et achats en boucle. L’analyste on-chain EmberCN a chiffré les créances irrécouvrables restantes à environ 2,15 millions de dollars, en CAKE et en THE. Venus a suspendu les emprunts et retraits sur le THE ; Rekt et une analyse communautaire du forum de Venus font toutes deux remonter le début de la position à juin 2025, environ neuf mois plus tôt, quand l’attaquant a commencé à constituer un dépôt de THE proche de 84 % du plafond de 14,5 millions de jetons.

Le procédé n’était pas nouveau. Lors du concours Code4rena de mai 2023 sur les pools isolés de Venus, la trouvaille M-10, intitulée « Exchange Rate can be manipulated », montrait qu’envoyer des jetons directement à un vToken gonfle son taux de change. Un représentant de Venus l’a contestée en écrivant que l’attaque serait réalisable « if we didn’t require an initial supply », condition que Venus comptait imposer aux nouveaux marchés. Une analyse communautaire du forum indique que le correctif vérifie désormais le plafond à chaque hausse de solde, et la mise à niveau du Liquidity Hub proposée le 12 novembre comble une faille voisine en ne comptant que les jetons issus des dépôts et retraits du Hub lui-même.

29 octobre 2026 : le jour du piratage de Binance

Le jour du piratage de Binance, le BNB est tombé à 680 dollars. Le rapport d’octobre de Venus indique que cette journée a représenté 59 % de la valeur liquidée du mois, avec 53 liquidations et 104 000 dollars de collatéral saisis. Sur l’ensemble du mois, 681 liquidations ont saisi 175 000 dollars de collatéral pour 158 000 dollars de dette remboursée.

Audits et bug bounty

La page de sécurité de la documentation renvoie à plus de 110 rapports d’audit, chacun lié à une version précise du code dans les dépôts GitHub de Venus. Parmi les plus récents figurent ceux de HashDit sur la conception des spokes financés par le Hub (11 septembre 2026), sur la précision de la passerelle de collatéral du Hub (29 septembre 2026) et sur la pause liée aux écarts de prix du Hub (16 octobre 2026), ceux de Bailsec et de Sherlock sur les pools spoke (tous deux le 23 octobre 2026), et ceux de Certik (19 septembre 2025) et de Quantstamp (3 septembre 2025) sur l’E-Mode. Le Diamond Comptroller, au coeur du Core Pool, a été audité par Certik et OpenZeppelin en août 2023.

Un audit porte sur le code qu’on lui a montré, pas sur le choix du collatéral ni sur ses paramètres. La plupart des pertes de Venus sont venues de ces choix. La page de sécurité ne liste que des audits et ne donne aucun détail sur un programme de bug bounty, comme sa plateforme ou ses récompenses.

Sept risques à peser avant d’utiliser Venus

• Un collatéral peu échangé peut être gonflé puis emprunté : c’est arrivé avec le XVS en 2021, le wUSDM en 2025 et le THE en 2026.
• Les prix reposent sur des oracles extérieurs ; là où aucune source pivot n’est définie, le prix principal est utilisé sans recoupement.
• Presque tous les dépôts sont sur BNB Chain, et les plus gros sont en BNB et en BTCB : une forte baisse de l’un ou de l’autre secoue tout le portefeuille de prêts.
• Les marchés de stablecoins tournent à forte utilisation (92,5 % pour l’USDC fin octobre) : les prêteurs peuvent devoir attendre pour retirer.
• Les gardiens peuvent suspendre des marchés, et la documentation ne nomme ni eux ni d’éventuels signataires de multisig.
• Venus Labs, payé par la DAO, n’a pas d’entité juridique publiée, et les détenteurs de XVS n’ont aucun droit direct sur les frais.
• Le Liquidity Hub et les pools spoke avec ETF tokenisés sont du code neuf, audité mais jeune.

À surveiller ensuite

Le premier rendez-vous est le vote sur la proposition du 12 novembre : le changement de comptabilité du Liquidity Hub, les 105 000 USDC pour Allez Labs et le transfert de propriété de l’oracle PancakeSwap sur Ethereum, Arbitrum et Base, qu’une proposition antérieure avait oublié. Viendra ensuite la question de savoir si le Hub continue de croître au-delà des 17,6 millions de dollars qu’il détenait fin octobre, et comment les marchés spoke pour ETF tokenisés se comportent lors de leur première semaine agitée. Le rapport de novembre devrait montrer si la chute d’octobre a laissé des créances irrécouvrables. Pour le contexte des voisins de BNB Chain, voyez nos pages sur PancakeSwap et sur Aave, premier prêteur au total.