Endnu en stablecoin går til grunde, da BLC styrtdykker fra 1 dollar til næsten at være værdiløs

Sikkerhedsfirmaerne Peckshield og Slowmist bekræftede udnyttelsen inden for få timer efter angrebet. Peckshield anslog først tabet til omkring 915.000 dollar. Slowmist præciserede senere dette tal til omkring 912.000 dollar og offentliggjorde en teknisk analyse af, hvordan angriberen gennemførte angrebet.

Balance Coin (BLC) handlede til en kurs på mellem 0,995 og 1,00 dollar før angrebet. Inden for få timer faldt kursen til omkring 0,0014 dollar og gled derefter yderligere ned til mellem 0,0008 og 0,0013 dollar på de største kursoversigter. Coinmarketcap viste senere en kurs tæt på dagens laveste niveau på 0,000795 dollar, hvilket svarer til et fald på 99,92 % over 24 timer.

Sådan fungerede udnyttelsen

Balance Protocol driver et system med sikkerhedsstillelse, der er modelleret efter MakerDAO, nu kendt som Brugere låser BTCB, den Binance-koblede version af bitcoin, inde i boksene og udsteder BLC mod den. Et prisorakel sporer værdien af denne sikkerhed. Når forholdet mellem gæld og sikkerhed falder for lavt, likviderer protokollen pengeskabet.

Angriberen brugte Spotter-kontraktens »poke«-funktion til at indføre en kunstigt lav BTCB-pris i systemets regnskabskontrakt. Oraklet accepterede tallet uden at sammenholde det med markedspriserne. Oprindeligt sunde vaults fremstod pludselig som insolvente. Dog-modulet, der håndterer likvidationer, beslaglagde sikkerheden i en enkelt transaktion, og angriberen solgte den videre på Pancakeswap med fortjeneste.

Slowmist betegner det som en kombination af en enkelt transaktion, der udnyttede manglende prisbeskyttelse og en manglende likvidationsforsinkelse i et Maker-lignende system. Ingen private nøgler blev kompromitteret. Protokollen stolede på et tal, den burde have stillet spørgsmålstegn ved.

Blockchain-optegnelser peger på en enkelt transaktionshash som den primære udnyttelsesvej, sammen med en angribers tegnebogsadresse, en offerkontrakt, Spotter-kontrakten og Dog-kontrakten, der blev brugt til likvidationer. Efterforskerne sporede hvert trin fra den falske prisindtastning til det endelige salg på Pancakeswap og gav dermed en fuldstændig redegørelse for, hvordan et legitimt udseende funktionskald blev til en gevinst på 912.000 dollars.

Flere standardbeskyttelsesforanstaltninger manglede angiveligt i designet:

• Ingen kontrol af prisafvigelser i forhold til eksterne markeder.
• Ingen maksimale drawdown-grænser for orakel-feedet.
• Ingen prisbund for at opfange åbenlyst falske målinger.
• Ingen forsinkelse mellem en prisopdatering og en likvidation.

Konsekvenser for markedet

Før angrebet lå Balance Coins cirkulerende udbud på omkring 3,5 millioner tokens, hvilket gav det en nominel værdi på tæt på 3,5 millioner dollars. Efter sammenbruddet faldt dets markedsværdi til cirka 2.800 dollars. Handelsvolumenet steg til omkring 103.000 $ på 24 timer, da indehavere solgte ud, og arbitragehandlere plukkede resterne.

Tokenets højeste kurs nogensinde var 1,42 dollar i maj 2025. Afkoblingen den 22. juli blev dets nye laveste kurs nogensinde. 42DAO har ikke annonceret en genopretningsplan eller kompensation til de berørte brugere. De stjålne BTCB er fortsat under angriberens kontrol.

Nogle trackere registrerede tusindvis af transaktioner i timerne efter angrebet, hvoraf mange var køb – et mønster, der ofte ses, når spekulanter jagter et token, der har mistet sin fastkursbinding, i håb om et opsving eller en hurtig arbitragehandel. Aktiviteten genoprettede dog ikke fastkursbindingen.

Balance Coins placering på de store aggregatorer faldt langt ned i de lavere tusinder, og likviditeten, der allerede var tynd før angrebet, forsvandt stort set. Statistikker fra Coinmarketcap angiver, at den cirkulerende forsyning af BLC er »selvrapporteret«, og at mønten har mere end 18.000 indehavere.

En del af et længerevarende mønster

Balance Coin er nu en af en lang række stablecoins, der ikke har formået at opretholde deres fastkursbinding. TerraUSD mistede sin dollarværdi i maj 2022 i et sammenbrud, der udslettede titusindvis af milliarder dollars og trak dets søster-token LUNA ned til næsten nul. Circles USDC mistede kortvarigt sin fastkurs i marts 2023, efter at Silicon Valley Bank gik konkurs, men den kom sig igen, da det blev bekræftet, at reserverne var sikre. Mindre projekter som Iron Finance, Beanstalk og Acalas aUSD har i de foregående år været udsat for lignende sammenbrud forårsaget af udnyttelse af sårbarheder.

Manipulation af orakler er en tilbagevendende årsag. Angribere indtaster en falsk pris i et protokol, protokollen reagerer som forudset, og værdien overføres til angriberen, før nogen kan stoppe det. Balance Protocol kopierede arkitekturen fra større, mere etablerede systemer som MakerDAO, men udelod de sikkerhedsforanstaltninger, som disse systemer havde indført efter år med nærved-ulykker.

Hvorfor det er vigtigt

Balance Coins marked var lille sammenlignet med store stablecoins som USDT og USDC. Alligevel bidrager hvert eneste angreb som dette til et mønster, som tilsynsmyndigheder og brugere følger nøje. I 2026 vil tilsynet med stablecoins i USA foregå i henhold til GENIUS-loven, som lægger pres på udstederne for at bevise, at deres reserver og systemer kan holde til belastninger.

Foreløbig handles Balance Coin tæt på nul. Den BNB-baserede wrapped bitcoin-sikkerhed, der engang understøttede den, ligger i en tegnebog uden for 42DAO’s kontrol, og protokollen har endnu ikke udtalt sig om, hvad der nu skal ske.