Un autre stablecoin mord la poussière : le BLC s'effondre, passant de 1 dollar à une valeur quasi nulle

Les sociétés de sécurité Peckshield et Slowmist ont confirmé l’exploitation de la faille quelques heures seulement après l’attaque. Peckshield a dans un premier temps estimé la perte à près de 915 000 dollars. Slowmist a ensuite affiné ce chiffre à environ 912 000 dollars et publié une analyse technique expliquant comment le pirate a mené son attaque.

Avant l’attaque, le Balance Coin (BLC) s’échangeait entre 0,995 $ et 1,00 $. En l’espace de quelques heures, son cours a chuté à environ 0,0014 $, puis a continué à baisser pour s’établir entre 0,0008 $ et 0,0013 $ sur les principaux sites de suivi. Coinmarketcap a ensuite affiché un cours proche de son plus bas intrajournalier à 0,000795 $, soit une baisse de 99,92 % sur 24 heures.

Comment l’exploitation a-t-elle fonctionné ?

Balance Protocol exploite un système de dette garantie calqué sur MakerDAO, désormais connu sous le nom de « Users lock ». Les utilisateurs bloquent des BTCB, la version du bitcoin indexée sur Binance, dans des coffres et émettent des BLC en contrepartie. Un oracle de prix suit la valeur de cette garantie. Lorsque le ratio entre la dette et la garantie devient trop faible, le protocole liquide le coffre-fort. L’attaquant a utilisé la fonction « poke » du contrat Spotter pour injecter un prix artificiellement bas du BTCB dans le contrat comptable du système. L’oracle a accepté ce chiffre sans le vérifier par rapport aux prix du marché. Des coffres-forts initialement sains sont soudainement apparus comme insolvables. Le module Dog, chargé des liquidations, a saisi la garantie en une seule transaction et l’attaquant l’a vendue sur Pancakeswap pour réaliser un profit.

Slowmist a qualifié cette attaque de « combo en une seule transaction » exploitant l’absence de protection des prix et l’absence de délai de liquidation dans un système de type Maker. Aucune clé privée n’a été compromise. Le protocole s’est fié à un chiffre qu’il aurait dû remettre en question.

Les enregistrements de la blockchain indiquent qu’un hachage de transaction unique constitue la principale voie d’exploitation, ainsi qu’une adresse de portefeuille de l’attaquant, un contrat de la victime, le contrat Spotter et le contrat Dog utilisé pour les liquidations. Les enquêteurs ont retracé chaque étape, de la saisie du faux prix jusqu’à la vente finale sur Pancakeswap, fournissant ainsi un compte rendu complet de la manière dont un appel de fonction d’apparence légitime s’est transformé en un gain de 912 000 dollars. Plusieurs mesures de sécurité standard auraient fait défaut dans la conception :

• Aucun contrôle des écarts de prix par rapport aux marchés externes.
• Aucune limite maximale de drawdown sur le flux de l’oracle.
• Aucun seuil de prix plancher pour détecter les valeurs manifestement erronées.
• Aucun délai entre la mise à jour des prix et la liquidation.

Répercussions sur le marché

Avant l’attaque, l’offre en circulation de Balance Coin s’élevait à près de 3,5 millions de jetons, ce qui lui conférait une valeur nominale proche de 3,5 millions de dollars. Après l’effondrement, sa capitalisation boursière est tombée à environ 2 800 dollars. Le volume des échanges a atteint un pic d’environ 103 000 dollars en 24 heures, les détenteurs se désengageant et les traders d’arbitrage se jetant sur les restes.

Le plus haut historique du token était de 1,42 $ en mai 2025. Le décalage du 22 juillet est devenu son nouveau plus bas historique. 42DAO n’a pas annoncé de plan de rétablissement ni d’indemnisation pour les utilisateurs touchés. Les BTCB détournés restent sous le contrôle de l’attaquant.

Certains outils de suivi ont enregistré des milliers de transactions dans les heures qui ont suivi l’exploitation de la faille, dont beaucoup étaient des achats – un schéma courant lorsque des spéculateurs se ruent sur un token dévissé dans l’espoir d’un rebond ou d’une opération d’arbitrage rapide. Cette activité n’a pas permis de rétablir l’ancrage.

Le classement de Balance Coin sur les principaux agrégateurs a chuté jusqu’aux milliers inférieurs, et la liquidité, déjà faible avant l’attaque, a en grande partie disparu. Les statistiques de CoinMarketCap indiquent que l’offre en circulation de BLC est « autodéclarée » et que la cryptomonnaie compte plus de 18 000 détenteurs.

S’inscrit dans une tendance plus longue

Balance Coin fait désormais partie d’une longue liste de stablecoins qui n’ont pas réussi à maintenir leur ancrage. Le TerraUSD a perdu sa valeur par rapport au dollar en mai 2022 lors d’un effondrement qui a anéanti des dizaines de milliards de dollars et entraîné son token jumeau, le LUNA, vers un niveau proche de zéro. L’USDC de Circle s’est brièvement détaché de son ancrage en mars 2023 après la faillite de la Silicon Valley Bank, bien qu’il se soit redressé une fois la sécurité des réserves confirmée. Des projets de moindre envergure comme Iron Finance, Beanstalk et l’aUSD d’Acala ont subi des effondrements similaires, provoqués par des exploits, au cours des années précédentes.

La manipulation des oracles est une cause récurrente. Les attaquants transmettent un faux cours à un protocole ; celui-ci réagit comme prévu, et la valeur est transférée à l’attaquant avant que quiconque ne puisse l’empêcher. Balance Protocol a copié l’architecture de systèmes plus importants et mieux établis comme MakerDAO, mais a omis les garde-fous que ces systèmes avaient ajoutés après des années de quasi-accidents.

Pourquoi est-ce important ?

Le marché de Balance Coin était modeste par rapport à celui des principaux stablecoins comme l’USDT et l’USDC. Néanmoins, chaque exploitation de ce type vient s’ajouter à une tendance que les régulateurs et les utilisateurs surveillent de près. En 2026, la surveillance des stablecoins aux États-Unis sera régie par la loi GENIUS, qui impose aux émetteurs de prouver que leurs réserves et leurs systèmes sont capables de résister à des situations de crise.

Pour l’instant, le Balance Coin se négocie à un cours proche de zéro. La garantie en « wrapped bitcoin » basée sur le BNB qui le sous-tendait autrefois se trouve dans un portefeuille hors du contrôle de 42DAO, et le protocole n’a pas encore indiqué quelle serait la suite des événements.