আরও একটি স্টেবলকয়েন মুখ থুবড়ে পড়ল: BLC $1 থেকে ধসে প্রায় মূল্যহীন হয়ে গেল

নিরাপত্তা প্রতিষ্ঠান Peckshield এবং Slowmist আক্রমণের কয়েক ঘণ্টার মধ্যেই এক্সপ্লয়েটটি নিশ্চিত করে। Peckshield প্রথমে ক্ষতির পরিমাণ প্রায় $915,000 বলে অনুমান করেছিল। Slowmist পরে সেই সংখ্যাটি পরিমার্জন করে প্রায় $912,000 বলে জানায় এবং আক্রমণকারী কীভাবে এটি করেছে তার একটি প্রযুক্তিগত বিশ্লেষণ প্রকাশ করে।

আক্রমণের আগে ব্যালান্স কয়েন (BLC) প্রায় $0.995 থেকে $1.00-এর কাছাকাছি লেনদেন হচ্ছিল। কয়েক ঘণ্টার মধ্যে এটি নেমে প্রায় $0.0014-এ আসে, তারপর প্রধান ট্র্যাকারগুলিতে আরও নেমে $0.0008 থেকে $0.0013-এর মধ্যে ঘোরাফেরা করে। Coinmarketcap পরে দিনের সর্বনিম্ন প্রায় $0.000795-এর কাছাকাছি একটি মূল্য দেখায়, যা ২৪ ঘণ্টায় 99.92% পতন।

এক্সপ্লয়েটটি কীভাবে কাজ করেছিল

ব্যালান্স প্রোটোকল একটি জামানত-সমর্থিত ঋণ ব্যবস্থা চালায়, যা MakerDAO-এর আদলে তৈরি, যা এখন Users নামে পরিচিত। ব্যবহারকারীরা BTCB—বিটকয়েনের Binance-পেগড সংস্করণ—ভল্টে লক করে এবং তার বিপরীতে BLC মিন্ট করে। একটি প্রাইস ওরাকল সেই জামানতের মূল্য ট্র্যাক করে। ঋণ ও জামানতের অনুপাত খুব কমে গেলে প্রোটোকল ভল্টটি লিকুইডেট করে।

আক্রমণকারী Spotter কনট্র্যাক্টের poke ফাংশন ব্যবহার করে সিস্টেমের অ্যাকাউন্টিং কনট্র্যাক্টে কৃত্রিমভাবে কম BTCB মূল্য ঢুকিয়ে দেয়। ওরাকলটি বাজারমূল্যের সঙ্গে মিলিয়ে না দেখেই সংখ্যাটি গ্রহণ করে। ফলে সুস্থ ভল্টগুলো হঠাৎ করে অদক্ষ (insolvent) বলে মনে হয়। লিকুইডেশন পরিচালনাকারী Dog মডিউল একটি একক ট্রানজ্যাকশনে জামানত জব্দ করে এবং আক্রমণকারী লাভের জন্য তা Pancakeswap-এ বিক্রি করে।

Slowmist এটিকে একটি সিঙ্গল ট্রানজ্যাকশন কম্বো বলে উল্লেখ করেছে, যা Maker-স্টাইল সিস্টেমে অনুপস্থিত প্রাইস প্রোটেকশন এবং অনুপস্থিত লিকুইডেশন ডিলে-এর সুযোগ নিয়েছিল। কোনো প্রাইভেট কী কমপ্রোমাইজ হয়নি। প্রোটোকল এমন একটি সংখ্যাকে বিশ্বাস করেছে, যেটি নিয়ে তার সন্দেহ করা উচিত ছিল।

ব্লকচেইন রেকর্ড অনুযায়ী, একটি একক ট্রানজ্যাকশন হ্যাশকে প্রধান এক্সপ্লয়েট পথ হিসেবে শনাক্ত করা হয়েছে; পাশাপাশি একটি আক্রমণকারীর ওয়ালেট ঠিকানা, একটি ভিক্টিম কনট্র্যাক্ট, Spotter কনট্র্যাক্ট, এবং লিকুইডেশনের জন্য ব্যবহৃত Dog কনট্র্যাক্টও চিহ্নিত করা হয়েছে। তদন্তকারীরা ভুয়া মূল্য এন্ট্রি থেকে শুরু করে Pancakeswap-এ চূড়ান্ত বিক্রয় পর্যন্ত প্রতিটি ধাপ ট্রেস করেছে, ফলে কীভাবে একটি বৈধ দেখানো ফাংশন কল $912,000-এর “পে-ডে” হয়ে গেল তার পূর্ণ বিবরণ পাওয়া গেছে।

ডিজাইনে কয়েকটি মানক সুরক্ষাব্যবস্থা নাকি অনুপস্থিত ছিল:

• বাইরের বাজারের বিরুদ্ধে প্রাইস ডিভিয়েশন চেক নেই।
• ওরাকল ফিডে সর্বোচ্চ ড্রডাউন সীমা নেই।
• স্পষ্টতই ভুল রিডিং ধরার জন্য কোনো প্রাইস ফ্লোর নেই।
• একটি প্রাইস আপডেট ও একটি লিকুইডেশনের মধ্যে কোনো বিলম্ব নেই।

বাজারে প্রভাব

আক্রমণের আগে, ব্যালান্স কয়েনের সার্কুলেটিং সাপ্লাই ছিল প্রায় ৩.৫ মিলিয়ন টোকেন, ফলে এর নামমাত্র মূল্য ছিল প্রায় $3.5 মিলিয়ন। ধসের পর, এর মার্কেট ক্যাপ নেমে প্রায় $2,800-এ দাঁড়ায়। হোল্ডাররা বেরিয়ে যাওয়া এবং আর্বিট্রাজ ট্রেডাররা অবশিষ্ট সুযোগ খোঁজার কারণে ২৪ ঘণ্টায় ট্রেডিং ভলিউম বেড়ে প্রায় $103,000-এ পৌঁছায়।

টোকেনটির সর্বকালের সর্বোচ্চ মূল্য ছিল মে ২০২৫-এ $1.42। ২২ জুলাইয়ের ডিপেগটি তার নতুন সর্বকালের সর্বনিম্নে পরিণত হয়। 42DAO ক্ষতিগ্রস্ত ব্যবহারকারীদের জন্য কোনো পুনরুদ্ধার পরিকল্পনা বা ক্ষতিপূরণ ঘোষণা করেনি। উত্তোলিত BTCB এখনও আক্রমণকারীর নিয়ন্ত্রণে রয়েছে।

কিছু ট্র্যাকার এক্সপ্লয়েটের পরের কয়েক ঘণ্টায় হাজার হাজার ট্রানজ্যাকশন লগ করেছে, যার অনেকগুলোই ছিল কেনা—ডিপেগ হওয়া টোকেনে রিবাউন্ড বা দ্রুত আর্বিট্রাজের আশায় স্পেকুলেটররা ঝাঁপিয়ে পড়লে এমন প্যাটার্ন সাধারণ। এই সক্রিয়তা পেগ পুনরুদ্ধার করতে পারেনি।

প্রধান অ্যাগ্রিগেটরগুলিতে ব্যালান্স কয়েনের র‍্যাঙ্কিং নেমে বহু নিচের হাজারের ঘরে চলে যায়, এবং আক্রমণের আগেই পাতলা যে লিকুইডিটি ছিল তা প্রায় উধাও হয়ে যায়। Coinmarketcap-এর পরিসংখ্যান বলছে BLC-এর সার্কুলেটিং সাপ্লাই “self-reported” এবং কয়েনটির ১৮,০০০-এর বেশি হোল্ডার রয়েছে।

দীর্ঘ একটি ধারাবাহিকতার অংশ

ব্যালান্স কয়েন এখন সেই দীর্ঘ তালিকার আরেকটি নাম, যেখানে স্টেবলকয়েনগুলো তাদের পেগ ধরে রাখতে ব্যর্থ হয়েছে। TerraUSD ডলারের মূল্য হারায় মে ২০২২-এর এক ধসে, যা কয়েক দশ বিলিয়ন ডলার মুছে দেয় এবং তার সহোদর টোকেন LUNA-কে প্রায় শূন্যে নামিয়ে আনে। Silicon Valley Bank ব্যর্থ হওয়ার পর মার্চ ২০২৩-এ Circle-এর USDC স্বল্প সময়ের জন্য ডিপেগ হয়েছিল, যদিও রিজার্ভ নিরাপদ বলে নিশ্চিত হওয়ার পর তা পুনরুদ্ধার করে। Iron Finance, Beanstalk, এবং Acala-এর aUSD-এর মতো ছোট প্রকল্পগুলোও আগের বছরগুলোতে একই ধরনের এক্সপ্লয়েট-চালিত ধসে পড়েছিল।

ওরাকল ম্যানিপুলেশন বারবার ঘটতে থাকা একটি কারণ। আক্রমণকারীরা প্রোটোকলকে একটি ভুয়া দাম খাওয়ায়, প্রোটোকল নকশা অনুযায়ী প্রতিক্রিয়া দেখায়, এবং কেউ থামাতে পারার আগেই মূল্য আক্রমণকারীর দিকে সরে যায়। ব্যালান্স প্রোটোকল MakerDAO-এর মতো বড় ও বেশি প্রতিষ্ঠিত সিস্টেমের আর্কিটেকচার কপি করেছিল, কিন্তু বছরের পর বছর ধরে প্রায়-দুর্ঘটনার (near misses) পর ওই সিস্টেমগুলো যে গার্ডরেল যোগ করেছে, সেগুলো বাদ পড়ে যায়।

কেন এটি গুরুত্বপূর্ণ

USDT এবং USDC-এর মতো বড় স্টেবলকয়েনগুলোর তুলনায় ব্যালান্স কয়েনের বাজার ছোট ছিল। তবুও, এমন প্রতিটি এক্সপ্লয়েট এমন একটি ধারাবাহিকতা তৈরি করে যা নিয়ন্ত্রক ও ব্যবহারকারীরা নিবিড়ভাবে দেখছে। ২০২৬ সালে, যুক্তরাষ্ট্রে স্টেবলকয়েন তদারকি GENIUS Act-এর অধীনে পরিচালিত হয়, যা ইস্যুয়ারদের ওপর চাপ সৃষ্টি করে—তাদের রিজার্ভ এবং তাদের সিস্টেম চাপের মধ্যে টিকে থাকতে পারে কি না তা প্রমাণ করতে।

এ মুহূর্তে, ব্যালান্স কয়েন প্রায় শূন্যের কাছাকাছি লেনদেন হচ্ছে। একসময় যে BNB-ভিত্তিক র‍্যাপড বিটকয়েন জামানত এটিকে সমর্থন করত, তা 42DAO-এর নিয়ন্ত্রণের বাইরে একটি ওয়ালেটে পড়ে আছে, এবং প্রোটোকল এখনও বলেনি এরপর কী হবে।