Balance Coin (BLC) spadł w środę o około 99% po tym, jak napastnik zmanipulował oracle cenowe BTCB protokołu i pobrał 912 000 USD ze skarbca projektu, pozostawiając token bez prawie żadnej wartości.

BLC to algorymiczny stablecoin zaprojektowany tak, aby naśladować dolara amerykańskiego i być notowanym po 1 USD. We wtorek token był wyceniany na około 0,9954 USD, ale wczesną środą spadł do ułamka centa. Był notowany w okolicach 0,0014 USD, podczas gdy niektóre inne wskaźniki cenowe umiejscawiały tę cenę bliżej 0,0025 USD.

Pod koniec środy Balance Coin stracił niemal całą swoją nominalną wartość wynoszącą 3,5 miliona USD.

Zmanipulowana cena BTCB zamieniła bezpieczne skarbce w cele likwidacyjne

Balance Protocol działa w oparciu o strukturę w stylu Makera. Pozwala użytkownikom zablokować zabezpieczenie, zazwyczaj Bitcoin Cash (BCH), Binance-pegged Bitcoin (BTCB) oraz USDT, i wybić BLC pod to zabezpieczenie. Gdy wartość zabezpieczenia spadnie znacznie poniżej długu powiązanego z pozycją, protokół natychmiast likwiduje tę pozycję i sprzedaje aktywa zabezpieczające.

Firma zajmująca się bezpieczeństwem, SlowMist, prześledziła kradzież do Median Oracle protokołu, czyli źródła cen informującego system o wartości BTCB.

Zgodnie z przedstawionymi ustaleniami, napastnik przekazał nienaturalnie niską cenę przez funkcję „poke” w kontrakcie Spotter, a następnie uruchomił likwidację za pomocą modułu Dog. SlowMist poinformował, że Spotter nie posiadał średniej ceny ważonej czasowo (TWAP), mechanizmu sprawdzania granic zdolnego do odrzucania cen mocno odbiegających od rynku ani opóźnienia likwidacji.

Kanały informacyjne oparte na średniej cenie ważonej czasowo, czyli TWAP, wygładzają krótkoterminowe skoki cen, uśredniając wartości w określonym przedziale czasowym, co utrudnia pojedynczej transakcji manipulowanie raportowaną ceną. Są one stosowane na głównych platformach DeFi, w tym na Uniswap, a także w sieciach oracle, takich jak Chainlink. Bez takich zabezpieczeń lub progu odchyleń, skarbce, które wcześniej były bezpieczne, nagle stały się niewypłacalne. Napastnik był wtedy w stanie zlikwidować je przy użyciu fałszywej ceny i przejąć zabezpieczenie w jednej transakcji.

Wybity BLC został przekierowany przez PancakeSwap

Atak nie ograniczył się do likwidacji skarbców. Napastnik wybił również około 4,5 miliona BLC z pustego adresu za pomocą przejętego kontraktu GemJoin i przesłał te tokeny do PancakeSwap V2, gdzie zostały wymienione na BSC-USD i BTCB. Ten krok zamienił nowo wybite monety w realne aktywa.

Druga transakcja, zgłoszona dwie godziny później, wybiła dodatkowe 5 900 BLC.

Napływ niekrytej podaży odsunął BLC od zamierzonego celu w czasie rzeczywistym. Mechanizm mający na celu utrzymanie pary stał się tym samym mechanizmem wykorzystywanym do jej zerwania.

Audyt CertiK nie wychwycił błędu

W przeszłości 42DAO podkreślało audyt CertiK swojego kontraktu wybijającego BLC jako dowód bezpieczeństwa systemu. W tym przypadku okazało się to bezużyteczne, ponieważ chociaż audyt był legalny, standardowe audyty inteligentnych kontraktów zazwyczaj szukają błędów kontroli dostępu, re-entrancji, przepełnień i wad w kodowaniu.

Traktują one zazwyczaj dane wejściowe z oracle jako zaufane, zamiast traktować modelowanie manipulowanego źródła cen jako zagrożenie w zakresie audytu. Rozróżnienie to ma znaczenie, ponieważ manipulacja oracle stanowi powtarzający się wektor w kradzieżach DeFi, a wiele przeszłych ataków wy śledziło straty do źródeł cen, które audyty uważały za wiarygodne dane.

Mimo że OWASP umieszcza manipulację oracle w swoim Smart Contract Top 10 na rok 2026, środki, które mogłyby zapobiec temu atakowi, często wykraczają poza standardowy zakres audytu.

System 42DAO nie posiadał żadnego z poniższych zabezpieczeń:

• Źródła danych o średniej cenie ważonej czasowo
• Mechanizmu sprawdzania granic odrzucającego ceny odbiegające od rynku
• Opóźnienia likwidacji podobnego do jednegodzinnego Modułu Bezpieczeństwa Oracle w MakerDAO

Trzeci protokół na BNB Chain, który zamilkł po ataku

Środowy incydent był trzecim głównym zdarzeniem związanym z bezpieczeństwem DeFi w sieci BNB Chain w ciągu ostatnich dwóch miesięcy. Był to również trzeci przypadek, w którym zespół dotknięty atakiem zachował milczenie.

W późnym maju ze starych blokad płynności DxScale skradziono około 7,3 miliona USD. Na początku czerwca TesseraDAO straciła około 2,5 miliona USD, gdy napastnik ukradł 99 milionów TSR, wykorzystując kompromitację klucza administratora.

Ta seria ataków jest zgodna z najnowszym trendem wśród atakujących w 2026 roku. Analitycy zauważyli, że napastnicy nie szukają już błędów w kodzie, ale skupiają się na warstwach oracle i ładu wokół kodu.

Ataki te mają również miejsce w czasie, gdy rynek stał się nieufny wobec algorymicznych stablecoinów, zwłaszcza po upadku UST (Terra) w 2022 roku, a ostatnio po odłączeniu się od pary (depeg) w przypadku USDe od Ethena oraz MIM od Abracadabra.