BLCが1ドルからほぼ無価値な水準まで暴落し、また1つのステーブルコインが消滅しました。

セキュリティ企業のPeckshieldとSlowmistは、攻撃発生から数時間以内にこの脆弱性の悪用を確認しました。Peckshieldは当初、損失額を約915,000ドルと推定しました。その後、Slowmistはこの数字を約912,000ドルに修正し、攻撃者がどのように犯行を実行したかについての技術的な分析を公表しました。

Balance Coin（BLC）は攻撃前、0.995ドルから1.00ドル付近で取引されていました。しかし数時間後には約0.0014ドルまで急落し、その後も主要な価格追跡サイトでは0.0008ドルから0.0013ドルの間で下落が続きました。 Coinmarketcapではその後、日中の安値である0.000795ドル付近の価格が表示され、24時間での下落率は99.92%に達しました。

エクスプロイトの仕組み

Balance Protocolは、MakerDAOをモデルにした担保付債務システムを運用しています。現在、ユーザーはBinanceにペッグされたビットコインであるBTCBを金庫にロックし、それに対してBLCを発行しています。 価格オラクルがその担保価値を追跡します。債務と担保の比率が低くなりすぎると、プロトコルは金庫を清算します。攻撃者はSpotterコントラクトのpoke関数を使用し、人為的に低く設定されたBTCB価格をシステムの会計コントラクトに送り込みました。オラクルは市場価格との照合を行わずにその数値を受け入れました。 健全だったヴォールトが突然債務超過状態に見えるため、清算を処理する「Dog」モジュールが単一のトランザクションで担保を差し押さえました。攻撃者はそれをPancakeswapで売却して利益を得ました。

Slowmistはこれを「Makerスタイルのシステムにおける価格保護機能と清算遅延の欠如を突いた単一トランザクションのコンボ」と表現した。秘密鍵が流出したわけではない。プロトコルは、本来疑うべき数値をそのまま信じてしまったのである。

ブロックチェーンの記録によると、主な攻撃経路は単一のトランザクションハッシュであり、これに加え、攻撃者のウォレットアドレス、被害を受けたコントラクト、Spotterコントラクト、および清算に使用されたDogコントラクトが特定された。 調査チームは、虚偽の価格入力からPancakeswapでの最終的な売却に至るまでの全過程を追跡し、一見正当に見える関数呼び出しが、いかにして91万2,000ドルの利益へとつながったかを詳細に解明しました。設計上、いくつかの標準的な安全対策が欠けていたと報告されています：

• 外部市場との価格乖離チェックがない。
• オラクルフィードに対する最大ドローダウン制限がない。
• 明らかに誤った数値を捕捉するための価格の下限設定がない。
• 価格更新と清算の間に遅延を設けていません。

市場への影響

攻撃前、Balance Coinの流通供給量は約350万トークンで、名目価値は350万ドル近くに達していました。暴落後、その時価総額は約2,800ドルまで下落しました。 保有者が売却に走り、裁定取引業者が残りを拾い集めたため、24時間での取引高は約10万3,000ドルまで急増しました。

このトークンの過去最高値は2025年5月の1.42ドルでした。7月22日のペッグ解除は新たな史上最安値となりました。42DAOは復旧計画や影響を受けたユーザーへの補償について発表していません。流出したBTCBは依然として攻撃者の管理下にあります。

一部のトラッカーによると、攻撃発生後の数時間で数千件の取引が記録され、その多くは買い注文でした。これは、投機筋が反発や迅速な裁定取引を期待してペッグが外れたトークンを追い求める際に常见なパターンです。しかし、こうした動きによってペッグが回復することはありませんでした。

主要なアグリゲーターにおけるBalance Coinのランキングは数千位台の下位まで急落し、攻撃前からすでに乏しかった流動性はほぼ消滅しました。CoinMarketCapの統計によると、BLCの発行済み供給量は「自己申告」であり、このコインの保有者は18,000人以上います。

長期的な傾向の一部

バランスコインは現在、ペッグを維持できなかった数多くのステーブルコインの一つとなっています。テラUSD（TerraUSD）は2022年5月、数百億ドル規模の資産が消失し、姉妹トークンであるLUNAをほぼゼロまで引きずり下げる大暴落の中で、ドル価値を失いました。 CircleのUSDCは2023年3月、シリコンバレー銀行の破綻を受けて一時的にペッグが外れたが、準備金の安全性が確認されたことで回復した。Iron Finance、Beanstalk、AcalaのaUSDといった小規模プロジェクトも、過去数年にわたり同様のエクスプロイトによる崩壊に見舞われている。

オラクル操作は繰り返し発生する原因の一つです。攻撃者がプロトコルに虚偽の価格を送信すると、プロトコルは設計通りに反応し、誰かが阻止する間もなく価値が攻撃者の手に渡ってしまいます。Balance Protocolは、MakerDAOのような大規模で確立されたシステムのアーキテクチャを模倣しましたが、それらのシステムが長年にわたる危機一髪の事態を経て追加した安全策を省略していました。

なぜ重要なのか

Balance Coinの市場規模は、USDTやUSDCといった主要なステーブルコインに比べれば小さいものでした。それでも、今回のようなエクスプロイトが一つずつ積み重なることで、規制当局やユーザーが注視している傾向がさらに強まっています。 2026年には米国で「GENIUS法」に基づくステーブルコイン監督が始まり、発行者は準備金の証明とストレス環境でのシステム耐性を示すよう圧力を受ける見通しです。

現時点ではバランスコインの取引価格はほぼゼロに近いです。かつて裏付けとなっていたBNBベースのラップドビットコイン担保は42DAOの管理外にあるウォレットに保管されており、プロトコル側は今後の対応についてまだ発表していません。