Weer een stablecoin gaat ten onder: BLC stort in van 1 dollar tot bijna waardeloos

Beveiligingsbedrijven Peckshield en Slowmist bevestigden de aanval binnen enkele uren na de aanval. Peckshield schatte het verlies aanvankelijk op bijna $915.000. Slowmist stelde dat bedrag later bij naar ongeveer $912.000 en publiceerde een technische analyse van hoe de aanvaller dit voor elkaar kreeg.

Balance Coin (BLC) noteerde vóór de aanval rond de $0,995 tot $1,00. Binnen enkele uren daalde de koers naar ongeveer $0,0014, waarna deze op de belangrijkste trackers verder afdaalde tot tussen $0,0008 en $0,0013. Coinmarketcap gaf later een koers weer die dicht bij het laagste punt van de dag lag, namelijk $0,000795, een daling van 99,92% in 24 uur.

Hoe de exploit werkte

Balance Protocol hanteert een systeem van door onderpand gedekte schulden naar het voorbeeld van MakerDAO, dat nu bekendstaat als Gebruikers zetten BTCB, de aan Binance gekoppelde versie van bitcoin, vast in kluizen en slaan daar BLC tegen in. Een prijsorakel volgt de waarde van dat onderpand. Wanneer de verhouding tussen schuld en onderpand te laag wordt, liquideert het protocol de kluis.

De aanvaller gebruikte de ‘poke’-functie van het Spotter-contract om een kunstmatig lage BTCB-prijs in het boekhoudcontract van het systeem te pushen. Het orakel accepteerde het getal zonder het te toetsen aan de marktprijzen. Gezonde kluizen leken plotseling insolvent. De Dog-module, die liquidaties afhandelt, nam het onderpand in één transactie in beslag en de aanvaller verkocht het met winst op Pancakeswap.

Slowmist noemde het een ‘single transaction combo’ die misbruik maakte van het ontbreken van prijsbescherming en een ontbrekende liquidatievertraging in een Maker-achtig systeem. Er zijn geen privésleutels gecompromitteerd. Het protocol vertrouwde op een getal dat het in twijfel had moeten trekken.

Blockchain-gegevens wijzen op een hash van één enkele transactie als het primaire exploitpad, samen met het walletadres van de aanvaller, een slachtoffercontract, het Spotter-contract en het Dog-contract dat voor liquidaties wordt gebruikt. Onderzoekers hebben elke stap getraceerd, van de valse prijsinvoer tot de uiteindelijke verkoop op Pancakeswap, en gaven zo een volledig verslag van hoe een legitiem ogende functieaanroep uitmondde in een opbrengst van $912.000.

Naar verluidt ontbraken er verschillende standaardbeveiligingsmaatregelen in het ontwerp:

• Geen controles op prijsafwijkingen ten opzichte van externe markten.
• Geen limieten voor maximale dalingen in de oracle-feed.
• Geen prijsbodem om duidelijk onjuiste waarden op te vangen.
• Geen vertraging tussen een prijsupdate en een liquidatie.

Gevolgen voor de markt

Vóór de aanval bedroeg de circulerende voorraad van Balance Coin ongeveer 3,5 miljoen tokens, wat neerkwam op een nominale waarde van bijna 3,5 miljoen dollar. Na de ineenstorting daalde de marktkapitalisatie tot ongeveer 2.800 dollar. Het handelsvolume piekte in 24 uur tot ongeveer $103.000, toen houders uitstapten en arbitragetraders de restanten opruimden.

Het hoogste punt ooit van het token was $1,42 in mei 2025. De ontkoppeling van 22 juli werd het nieuwe dieptepunt. 42DAO heeft nog geen herstelplan of compensatie voor getroffen gebruikers aangekondigd. De weggehaalde BTCB blijft onder controle van de aanvaller.

Sommige trackers registreerden duizenden transacties in de uren na de aanval, waarvan vele aankopen waren – een patroon dat vaak voorkomt wanneer speculanten een losgekoppeld token najagen in de hoop op een herstel of een snelle arbitragetransactie. Deze activiteit heeft de koppeling niet hersteld.

De positie van Balance Coin op grote aggregators zakte ver weg naar de lagere duizenden, en de liquiditeit, die al schaars was vóór de aanval, verdween grotendeels. Volgens statistieken van CoinMarketCap is de circulerende voorraad van BLC „zelfgerapporteerd“ en heeft de munt meer dan 18.000 houders.

Onderdeel van een langer patroon

Balance Coin is nu een van de vele stablecoins die hun koppeling niet hebben kunnen handhaven. TerraUSD verloor zijn dollarwaarde in mei 2022 tijdens een ineenstorting die tientallen miljarden dollars vernietigde en het zustertoken LUNA naar bijna nul sleepte. De USDC van Circle raakte in maart 2023 kortstondig losgekoppeld nadat Silicon Valley Bank failliet ging, hoewel de munt zich herstelde zodra werd bevestigd dat de reserves veilig waren. Kleinere projecten zoals Iron Finance, Beanstalk en Acala’s aUSD leden in voorgaande jaren soortgelijke, door exploits veroorzaakte ineenstortingen.

Manipulatie van oracles is een terugkerende oorzaak. Aanvallers voeren een valse prijs in bij een protocol, het protocol reageert zoals bedoeld en de waarde vloeit naar de aanvaller voordat iemand dit kan stoppen. Balance Protocol kopieerde de architectuur van grotere, meer gevestigde systemen zoals MakerDAO, maar liet de veiligheidsmaatregelen achterwege die die systemen na jaren van bijna-ongelukken hadden toegevoegd.

Waarom dit belangrijk is

De markt van Balance Coin was klein in vergelijking met grote stablecoins zoals USDT en USDC. Toch draagt elke exploit zoals deze bij aan een patroon dat toezichthouders en gebruikers nauwlettend in de gaten houden. In 2026 valt het toezicht op stablecoins in de Verenigde Staten onder de GENIUS Act, die uitgevers onder druk zet om aan te tonen dat hun reserves en hun systemen bestand zijn tegen stresssituaties.

Voorlopig wordt Balance Coin verhandeld tegen een waarde die bijna nul is. Het op BNB gebaseerde ‘wrapped bitcoin’-onderpand dat de munt ooit ondersteunde, bevindt zich in een wallet buiten de controle van 42DAO, en het protocol heeft nog niet laten weten wat er nu gaat gebeuren.