Venus Protocol (XVS): il principale protocollo di prestito su BNB Chain e gli attacchi ai collaterali che continuano a costargli caro

Venus Protocol è il mercato monetario che la maggior parte degli utenti di BNB Chain incontra per primo: si depositano BNB, bitcoin o stablecoin, si incassano interessi e si prende a prestito dando in garanzia quei fondi. Il 12 novembre 2026 DefiLlama contava 1,07 miliardi di dollari di total value locked nel Core Pool di Venus, il 99,7% su BNB Chain, più di qualunque altro protocollo di prestito di quella rete. Altrove le sue dimensioni sono modeste.

È anche un protocollo con un lungo dossier di incidenti. Collaterali poco scambiati sono stati spinti al rialzo e usati per indebitarsi nel 2021, nel 2025 e di nuovo a marzo 2026, e ogni volta Venus è rimasto con un debito inesigibile. L’ultima proposta sul suo forum, pubblicata il 12 novembre, cambia il modo in cui la nuova Liquidity Hub conta i propri asset, così che i token inviati direttamente al contratto non possano più gonfiarne il valore.

Cos’è Venus Protocol: un prestito alla Compound con una stablecoin propria

Venus è nato nel 2020 su quella che allora si chiamava Binance Smart Chain. La documentazione lo descrive come l’unione di due idee più vecchie: i mercati monetari sul modello di Compound, in cui prestatori e debitori si incontrano in pool condivisi, e una stablecoin stile MakerDAO emessa contro garanzie, qui chiamata VAI. Il profilo di Binance Research del 2020 sostiene che lo sviluppo fosse interamente finanziato dal team di Swipe, società di carte crypto, e che non fosse stata fatta alcuna vendita di token.

Il token di governance XVS è stato distribuito per la prima volta tramite Binance Launchpool dal 29 settembre 2020. Joselito Lizarondo è indicato come fondatore di Venus nelle cronache di Forklog del 2021 e di Protos del 2023; la documentazione non elenca alcun team.

Il meccanismo ricalca da vicino quello di Compound. Chi presta USDT riceve vUSDT, un vToken il cui tasso di cambio rispetto a USDT sale man mano che i debitori pagano interessi. Chi vuole prendere a prestito deve prima depositare una garanzia; ogni asset ha un fattore di garanzia che limita quanto si può ottenere. Se i prezzi si muovono e il prestito supera quel limite, chiunque può rimborsarne una parte e rilevare la garanzia con uno sconto. La nostra guida a prestiti e finanziamenti in crypto spiega queste regole in generale, mentre la guida alle liquidazioni DeFi racconta che cosa succede quando la garanzia non basta più.

Core Pool, pool isolati ed E-Mode

Il grosso dei fondi sta nel Core Pool su BNB Chain, gestito da un contratto chiamato Comptroller. Tutti gli asset condividono lo stesso profilo di rischio: un deposito di BTCB può garantire un prestito in USDT, CAKE o THE. I pool isolati, aggiunti nel 2023, separano gli asset più rischiosi in modo che un problema resti confinato; diversi sono stati nel frattempo dismessi e DefiLlama ne contava solo circa 0,8 milioni di dollari il 12 novembre.

L’E-Mode permette di prendere a prestito asset correlati a condizioni migliori. La proposta VIP-664 del 3 ottobre 2026, per esempio, ha aperto un E-Mode su ETH in cui wBETH, l’ether in staking di Binance, vale con un fattore di garanzia del 90% e una soglia di liquidazione del 93%. Limiti più alti aiutano chi si indebita, ma lasciano meno margine prima di una liquidazione se i due prezzi si allontanano.

La Liquidity Hub: un deposito, più destinazioni

Lo strato più recente è la Liquidity Hub. Per ogni asset esiste un vault basato sullo standard ERC-4626: chi presta deposita, ad esempio, USDT e riceve una quota il cui valore rispetto a USDT cresce nel tempo, invece di un saldo che si ricalcola. La governance decide poi dove va il denaro, con due elenchi ordinati, uno per i depositi e uno per i prelievi.

Le destinazioni indicate dalla documentazione sono il Core Pool, Venus Flux (prestiti costruiti con Fluid), vault a tasso fisso, quote di fondi tokenizzati di Centrifuge e pool “spoke” finanziati direttamente dalla Hub. Ogni destinazione ha un tetto in dollari e un tetto in percentuale della Hub, e vale il più severo. Un prelievo superiore alla liquidità disponibile non viene evaso in parte: fallisce per intero. Le commissioni di gestione, di performance e di rimborso sono state fissate a 0% al lancio.

La Hub è ancora piccola. Il rapporto di ottobre 2026 pubblicato sul forum da Allez Labs, il risk manager di Venus, indica depositi saliti da 5,5 milioni di dollari il 1° ottobre a 17,6 milioni il 31 ottobre, con il 93% (16,3 milioni) prestato al Core Pool e circa 1 milione collocato in quote di fondi Centrifuge. Venus Flux ne custodiva circa 1,2 milioni su DefiLlama il 12 novembre.

Mercati spoke che accettano ETF tokenizzati

Il 23 ottobre 2026 tre proposte, da VIP-668 a VIP-670, hanno aperto i primi mercati spoke finanziati dalla Hub. Il primo è un pool in cui QQQB e SPYB, token che replicano i fondi sul Nasdaq 100 e sull’S&P 500, possono essere depositati in garanzia per ottenere USDT o USDC. A fine ottobre le tre Hub vi avevano prestato appena circa 0,1 milioni di dollari. Bailsec e Sherlock hanno entrambe pubblicato audit del codice dei pool spoke datati 23 ottobre.

VAI, la stablecoin

VAI viene emesso contro le garanzie depositate su Venus. La sua commissione di stabilità ha una base fissa e una parte variabile che sale quando VAI scambia sotto 1 dollaro, rendendo più caro indebitarsi in VAI quando l’ancoraggio è debole; un modulo di stabilità dell’ancoraggio scambia VAI e USDT. VAI è piccolo: la pagina di CoinGecko mostrava circa 2,48 milioni di VAI in circolazione il 12 novembre e un minimo storico di 0,5792 dollari. Nessun dollaro in banca lo sostiene: è coperto da prestiti in crypto, e la documentazione sugli oracoli osserva che il prezzo di VAI proviene da una sola fonte, senza pivot né riserva.

Come Venus valuta le garanzie: il Resilient Oracle

Ogni prestito dipende dal prezzo che Venus assegna alla garanzia, perciò l’oracolo è il punto che gli attaccanti prendono di mira. Venus usa quello che chiama Resilient Oracle. Per ogni asset la governance sceglie una fonte principale, una fonte pivot facoltativa e una di riserva, tra Chainlink, RedStone, il feed di Binance, Atlas e APRO, più adattatori per i token che replicano un altro asset, come wBETH o asBNB. Il prezzo principale viene accettato solo se resta entro una banda, in genere del 5% o dell’1%, rispetto al pivot. La documentazione è esplicita sul limite: dove non è attivato alcun pivot, il prezzo principale viene usato senza verifica incrociata.

Una protezione più recente, la Protection Mode, riguarda le garanzie poco scambiate. Quando il prezzo spot si allontana di colpo dal suo intervallo recente, il Comptroller valuta quella garanzia al minore tra prezzo spot e minimo della finestra, e il debito al maggiore dei due. Un’impennata improvvisa non permette quindi più di prendere a prestito di più. Le liquidazioni usano ancora il prezzo spot. La documentazione indica una soglia di scostamento del 16,67% per le azioni tokenizzate TSLAB, NVDAB, SPCXB e SKHYB, in una configurazione datata 28 settembre 2026 (VIP-663).

Chi controlla Venus: voti XVS, tre timelock e guardiani

Le modifiche passano per le Venus Improvement Proposals (VIP), votate con XVS. Chi propone deve avere 1.000.000 di XVS delegati. Una proposta passa se i voti favorevoli superano i contrari e raggiungono almeno 1.500.000 XVS, e può contenere fino a 100 azioni on-chain.

Le proposte approvate attendono poi in un timelock. Su BNB Chain la documentazione elenca tre percorsi: Normal, con 48 ore di attesa; Fast-track, con 6 ore; e Critical, con 1 ora. Il percorso Critical esiste ancora, ma VIP-645 ha tolto tutti i permessi che deteneva sulle installazioni di Venus, perciò non può più eseguire azioni privilegiate. Le emergenze si affidano ora ai guardiani, che hanno diritti ristretti e specifici, concessi tramite un Access Control Manager, come sospendere i prestiti su un singolo mercato. La documentazione precisa che un guardiano non è un amministratore globale. Non pubblica però gli indirizzi dei guardiani, i firmatari che ci stanno dietro né una soglia di multisig, e invita gli integratori a leggere i permessi in vigore direttamente on-chain.

Lo sviluppo quotidiano è affidato a Venus Labs, un gruppo pagato dalla DAO. Nell’aprile 2025 Venus Labs ha chiesto con un voto su Snapshot 1,7 milioni di dollari per coprire il secondo semestre 2024, contro 1,49 milioni per il primo; al momento della notizia il voto aveva il 100% dei consensi, ha riportato The Block. Venus Labs non ha un’entità giuridica né una giurisdizione pubblicate. La gestione del rischio è acquistata da Allez Labs: la proposta del 12 novembre include un pagamento di 105.000 USDC per i suoi servizi dal 26 ottobre 2026 al 25 gennaio 2027.

Il token XVS: tetto di 30 milioni, nessuna quota al team e che cosa spetta ai detentori

XVS ha un’offerta massima di 30 milioni. Il profilo di Binance Research del 2020 indica la ripartizione originale: il 20% (6 milioni di XVS) tramite Binance Launchpool, l’1% per l’ecosistema di BNB Chain e il 79% per il mining da parte degli utenti del protocollo, diviso tra prestatori, debitori e chi conia VAI. Non elenca alcuna quota per team o investitori né un piano di vesting. Il 12 novembre la pagina di CoinGecko mostrava un’offerta totale di 29,745 milioni e un’offerta circolante di 16,892 milioni.

XVS è soprattutto un token di voto. Chi vuole votare deve bloccarlo nell’XVS Vault e delegare, anche a se stesso: la documentazione precisa che il solo staking non attiva il potere di voto. I depositi nel vault ricevono ricompense in XVS stabilite dalla governance, 535 XVS al giorno su BNB Chain per il terzo trimestre 2026, e contano per Venus Prime, un programma che paga un rendimento extra ai grandi detentori di lungo periodo del vault tramite token Prime non trasferibili.

Dove va il denaro lo spiega la pagina sulla tokenomics. Le entrate da riserve, in gran parte una quota degli interessi dei debitori, si dividono così: 40% alla tesoreria, 40% a Prime e 20% al Risk Fund. Le entrate da liquidazioni vanno per il 60% alla tesoreria, per il 20% a Prime e per il 20% al Risk Fund. Un’installazione alimenta Prime e il Risk Fund solo quando raggiunge in media almeno 50.000 dollari di ricavi al mese su sei mesi; Ethereum e Arbitrum mandano per ora tutto alla tesoreria.

Dal VIP-620 del maggio 2026 i ricavi del protocollo vengono convertiti da contratti TokenBuyback, con un operatore off-chain che compra gli asset di destinazione, tra cui XVS per la tesoreria. Dal VIP-638, eseguito il 1° luglio 2026, la quota che prima premiava l’XVS Vault va a Prime. Un semplice detentore di XVS ottiene quindi potere di voto e ricompense del vault che la governance può cambiare, non un diritto diretto sulle commissioni. La metodologia di DefiLlama descrive ancora il 40% dei ricavi da interessi sui prestiti come destinato ai detentori, il che suona diverso dalla ripartizione dichiarata da Venus.

TVL, commissioni e ricavi di Venus Protocol a novembre 2026

Alle 19:27 UTC del 12 novembre 2026 DefiLlama contava 1.066,3 milioni di dollari di TVL nel Core Pool di Venus, in calo rispetto a 1.129,1 milioni del 6 novembre e a 1.273,0 milioni del 14 ottobre. BNB Chain ne ospitava 1.062,8 milioni; Ethereum, Arbitrum, zkSync e Base insieme circa 3,5 milioni. I prestiti in corso erano 337,2 milioni. Qui il TVL è dato dai depositi meno i prestiti, ed è per questo che il rapporto di Venus, che conta l’offerta lorda, indica 1,48 miliardi per fine ottobre.

Le commissioni, cioè gli interessi pagati dai debitori più i proventi delle liquidazioni, sono state di 41.598 dollari nelle 24 ore, 303.089 in sette giorni e 1,03 milioni in 30 giorni al 12 novembre, e 159,8 milioni dal lancio. Gran parte degli interessi va ai prestatori: DefiLlama stima i ricavi propri del protocollo in 192.364 dollari negli stessi 30 giorni.

Il rapporto di ottobre, pubblicato il 10 novembre, offre lo sguardo dall’interno. Il debito è sceso del 16,9% nel mese a 337 milioni di dollari e l’utilizzo complessivo era del 23%, ma USDC e USDT erano presi a prestito per il 92,5% e l’84,3%, il che può rallentare i prelievi di stablecoin nei momenti di forte domanda. I depositi maggiori erano BTCB (402,8 milioni), BNB (394,7 milioni), USDT (169,0 milioni) e SolvBTC (155,6 milioni): Venus è soprattutto un luogo dove prendere a prestito stablecoin contro BNB e bitcoin.

Lo stesso rapporto conta 23.134 account con debito, con i quattro maggiori debitori che devono 58 milioni (il 17,2% del totale, contro il 22,9% del mese precedente). L’account più esposto, un debitore garantito da BTCB, aveva un health factor di 1,14 e 16,3 milioni di dollari di garanzia a rischio in caso di calo del 30% del bitcoin. Gli stress test stimano il debito inesigibile in circa 1,0 milioni dopo un ulteriore calo dei prezzi del 30% e in 35,3 milioni dopo un calo del 60%, contro 0,4 e 23,1 milioni a fine settembre.

Venus Protocol è sicuro? Gli incidenti dal 2021

Nessun protocollo di prestito è privo di rischi, e la storia di Venus mostra dove stanno i suoi: collaterali che si possono spingere, oracoli e la vicinanza a Binance e a BNB Chain.

Maggio 2021: il picco di XVS e circa 95 milioni di dollari di debito inesigibile

Nella notte verso il 19 maggio 2021 il prezzo di XVS è salito di quasi il 90%, da 76 a 144 dollari, ha riportato The Block. Chi aveva depositato XVS in garanzia ha sfruttato il prezzo più alto per indebitarsi molto; quando XVS è tornato indietro, oltre 200 milioni di dollari di posizioni sono stati liquidati e il protocollo è rimasto con un debito inesigibile di oltre 95 milioni, soprattutto in bitcoin ed ether secondo The Block, o 100 milioni secondo Forklog. Il ricercatore di The Block Igor Igamberdiev ha sostenuto che la scarsa liquidità di XVS su Binance rendesse facile manipolarne il prezzo; Lizarondo ha dichiarato che il protocollo aveva funzionato come previsto e che Venus avrebbe usato XVS per coprire l’ammanco. L’episodio è il modello degli attacchi successivi: un token usato come garanzia su Venus si sposta più facilmente di quanto i limiti di Venus ipotizzassero.

Maggio 2022: il prezzo bloccato di LUNA

Durante il crollo di Terra, Chainlink ha sospeso il feed di LUNA al suo minimo incorporato e Venus ha continuato a valutare LUNA circa 0,107 dollari mentre veniva scambiata intorno a 0,01. Gli attaccanti hanno depositato LUNA a basso costo e preso a prestito contro di essa. Le perdite riportate vanno da circa 11,2 milioni di dollari (Cointelegraph, 13 maggio 2022) a circa 13,5 milioni (Forklog e Rekt). Venus ha dichiarato che il suo Risk Fund avrebbe coperto l’ammanco. Ha sospeso il protocollo, lo ha riaperto il 16 maggio con i feed di prezzo disattivati, così che gli utenti potessero solo depositare e rimborsare, e la proposta VIP-61 ha portato a zero i fattori di garanzia di LUNA e UST.

2022-2023: l’hacker del bridge di BNB Chain come debitore

Dopo l’attacco di ottobre 2022 al bridge cross-chain di BNB Chain, l’attaccante ha depositato su Venus circa 200 milioni di dollari di BNB e ha ottenuto un prestito in stablecoin da 110 milioni, ha riportato DL News. La posizione era abbastanza grande da minacciare il protocollo in caso di calo di BNB e nel novembre 2022 la DAO ha votato per rendere BNB Chain unico liquidatore di quell’account. Nell’agosto 2023 circa 63 milioni della posizione sono stati liquidati, ha riportato Bloomberg. L’episodio ha mostrato quanto una singola posizione su Venus dipenda da decisioni prese attorno a Binance e a BNB Chain.

Febbraio 2025: un donation attack su zkSync

Il 27 febbraio 2025 un attaccante ha usato un flash loan di Aave per gonfiare il tasso di cambio di wUSDM, un token di vault sul mercato zkSync di Venus, inviando USDM direttamente al vault, e ha poi sfruttato il prezzo alterato per liquidare ed estrarre valore. Un post-mortem di Chaos Labs sul forum di Venus ha stimato il debito inesigibile in 902.159 dollari e la perdita netta in 716.789, al netto delle commissioni di liquidazione; Rekt riporta gli stessi numeri. Il post notava che lo standard di vault ERC-4626 non offre alcuna protezione contro tassi di cambio manipolati in questo modo.

Settembre 2025: un utente vittima di phishing e 13,5 milioni recuperati

Il 2 settembre 2025 un utente di Venus ha perso circa 13 milioni di dollari dopo aver installato un client Zoom malevolo, secondo l’analisi di SlowMist. L’attaccante ha agito attraverso il computer compromesso della vittima, non per un difetto dei contratti, che secondo Venus non erano stati compromessi. Venus ha sospeso il protocollo, la DAO ha votato per liquidare la posizione dell’attaccante e 13,5 milioni sono stati recuperati, ha riportato Cointelegraph. Il caso mostra fin dove può spingersi la governance su un singolo account quando lo decide.

Marzo 2026: il mercato THE

Il 15 marzo 2026 un attaccante ha spinto il prezzo di THE, il token dell’exchange Thena, da circa 0,27 a quasi 5 dollari su una singola piattaforma, secondo il ricercatore Weilin Li citato da The Block, mentre il prezzo usato da Venus saliva solo a circa 0,50. Per aggirare il tetto di offerta di THE, controllato solo quando i token venivano coniati tramite la normale funzione di deposito, l’attaccante ha trasferito THE direttamente al contratto vTHE, alzandone il tasso di cambio, poi ha ripetuto cicli di deposito, prestito e acquisto. L’analista on-chain EmberCN ha stimato il debito inesigibile residuo in circa 2,15 milioni di dollari, in CAKE e THE. Venus ha sospeso prestiti e prelievi di THE; Rekt e un’analisi della comunità sul forum di Venus fanno risalire l’inizio della posizione a giugno 2025, circa nove mesi prima, quando l’attaccante cominciò a costruire un deposito di THE vicino all’84% del tetto di 14,5 milioni.

Il vettore non era nuovo. Nel concorso Code4rena del maggio 2023 sui pool isolati di Venus, la segnalazione M-10, intitolata “Exchange Rate can be manipulated”, mostrava che inviare token direttamente a un vToken ne gonfia il tasso di cambio. Un rappresentante di Venus l’ha contestata, scrivendo che l’attacco sarebbe fattibile “if we didn’t require an initial supply”, cosa che Venus intendeva richiedere per i nuovi mercati. Un’analisi della comunità sul forum dice che la correzione ora controlla il tetto a ogni aumento del saldo, e l’aggiornamento della Liquidity Hub proposto il 12 novembre chiude una falla simile contando solo i token prodotti dai depositi e dai prelievi della Hub stessa.

29 ottobre 2026: il giorno dell’hack di Binance

Nel giorno dell’hack di Binance BNB è sceso a 680 dollari. Il rapporto di ottobre di Venus dice che quel giorno ha pesato per il 59% del valore liquidato nel mese, con 53 liquidazioni e 104.000 dollari di garanzie sequestrate. Nell’intero mese le liquidazioni sono state 681, con 175.000 dollari di garanzie sequestrate a fronte di 158.000 dollari di debito rimborsato.

Audit e bug bounty

La pagina sicurezza della documentazione rimanda a più di 110 report di audit, ciascuno legato a una specifica revisione del codice nei repository GitHub di Venus. Tra i recenti figurano HashDit sul disegno degli spoke finanziati dalla Hub (11 settembre 2026), sulla precisione del gateway di garanzie della Hub (29 settembre 2026) e sulla pausa per scostamento di prezzo della Hub (16 ottobre 2026), Bailsec e Sherlock sui pool spoke (entrambi 23 ottobre 2026), e Certik (19 settembre 2025) e Quantstamp (3 settembre 2025) sull’E-Mode. Il Diamond Comptroller al centro del Core Pool è stato sottoposto ad audit da Certik e OpenZeppelin nell’agosto 2023.

Un audit riguarda il codice che gli è stato mostrato, non la scelta delle garanzie né i loro parametri. Gran parte delle perdite di Venus è nata proprio da queste scelte. La pagina sicurezza elenca solo audit e non dà dettagli su un programma di bug bounty, come piattaforma o ricompense.

Sette rischi da valutare prima di usare Venus

• Le garanzie poco scambiate possono essere spinte al rialzo e usate per indebitarsi: è successo con XVS nel 2021, con wUSDM nel 2025 e con THE nel 2026.
• I prezzi dipendono da oracoli esterni; dove non è impostata una fonte pivot, il prezzo principale è usato senza verifica incrociata.
• Quasi tutti i depositi stanno su BNB Chain e i maggiori sono BNB e BTCB, quindi un forte calo di uno dei due sposta l’intero portafoglio.
• I mercati delle stablecoin lavorano con utilizzo elevato (92,5% per USDC a fine ottobre), perciò chi presta può dover attendere per prelevare.
• I guardiani possono sospendere i mercati e la documentazione non nomina né loro né eventuali firmatari di multisig.
• Venus Labs, pagata dalla DAO, non ha un’entità giuridica pubblicata, e i detentori di XVS non hanno un diritto diretto sulle commissioni.
• La Liquidity Hub e i pool spoke con ETF tokenizzati sono codice nuovo, sottoposto ad audit ma giovane.

Che cosa osservare ora

Il primo punto è il voto sulla proposta del 12 novembre: la modifica contabile della Liquidity Hub, i 105.000 USDC per Allez Labs e il trasferimento della proprietà dell’oracolo di PancakeSwap su Ethereum, Arbitrum e Base, che una proposta precedente aveva dimenticato. Poi se la Hub continuerà a crescere oltre i 17,6 milioni di dollari che custodiva a fine ottobre, e come si comporteranno i mercati spoke per ETF tokenizzati nella loro prima settimana volatile. Il rapporto di novembre dovrebbe mostrare se il calo di ottobre ha lasciato debito inesigibile. Per il contesto dei vicini di BNB Chain, vedi le nostre pagine su PancakeSwap e su Aave, il maggiore protocollo di prestito in assoluto.