Kolejna stablecoin odchodzi w zapomnienie – wartość BLC spadła z 1 dolara do poziomu bliskiego zeru

Firmy zajmujące się bezpieczeństwem, Peckshield i Slowmist, potwierdziły atak w ciągu kilku godzin od jego przeprowadzenia. Peckshield początkowo oszacowało stratę na około 915 000 dolarów. Slowmist później skorygowało tę kwotę do około 912 000 dolarów i opublikowało techniczną analizę sposobu, w jaki napastnik przeprowadził atak.

Przed atakiem kurs Balance Coin (BLC) oscylował w przedziale od 0,995 do 1,00 USD. W ciągu kilku godzin spadł do około 0,0014 USD, a następnie obniżył się jeszcze bardziej do poziomu od 0,0008 do 0,0013 USD na głównych platformach śledzących. Serwis Coinmarketcap wykazał później cenę zbliżoną do dziennego minimum wynoszącego 0,000795 USD, co oznacza spadek o 99,92% w ciągu 24 godzin.

Jak działała luka

Balance Protocol obsługuje system zadłużenia zabezpieczonego wzorowany na MakerDAO, znany obecnie jako Użytkownicy blokują BTCB – wersję bitcoina powiązaną z kursem Binance – w skarbcach i emitują w zamian za to tokeny BLC. Wyrocznia cenowa śledzi wartość tego zabezpieczenia. Gdy stosunek zadłużenia do zabezpieczenia spadnie zbyt nisko, protokół likwiduje skarbiec.

Atakujący wykorzystał funkcję „poke” kontraktu Spotter, aby wprowadzić sztucznie zaniżoną cenę BTCB do kontraktu księgowego systemu. Wyrocznia zaakceptowała tę wartość bez porównania jej z cenami rynkowymi. Skarbce, które wcześniej wyglądały na stabilne, nagle stały się niewypłacalne. Moduł Dog, który zajmuje się likwidacjami, przejął zabezpieczenie w ramach jednej transakcji, a atakujący sprzedał je na Pancakeswap, osiągając zysk.

Firma Slowmist określiła to jako kombinację pojedynczych transakcji, która wykorzystała brak zabezpieczenia przed zmianami cen oraz brak opóźnienia likwidacji w systemie typu Maker. Żadne klucze prywatne nie zostały ujawnione. Protokół zaufał wartości, którą powinien był poddać w wątpliwość.

Zapisy w łańcuchu bloków wskazują na hash pojedynczej transakcji jako główną ścieżkę ataku, wraz z adresem portfela atakującego, kontraktem ofiary, kontraktem Spotter oraz kontraktem Dog wykorzystywanym do likwidacji. Śledczy prześledzili każdy etap od wprowadzenia fałszywej ceny aż po ostateczną sprzedaż na Pancakeswap, przedstawiając pełny opis tego, jak wyglądające na legalne wywołanie funkcji przerodziło się w zysk w wysokości 912 000 dolarów.

Według doniesień w projekcie brakowało kilku standardowych zabezpieczeń:

• Brak kontroli odchyleń cenowych względem rynków zewnętrznych.
• Brak limitów maksymalnego spadku wartości danych z oracle.
• Brak dolnego progu cenowego pozwalającego wychwycić ewidentnie fałszywe odczyty.
• Brak opóźnienia między aktualizacją ceny a likwidacją pozycji.

Konsekwencje rynkowe

Przed atakiem podaż Balance Coin w obiegu wynosiła około 3,5 miliona tokenów, co dawało mu wartość nominalną bliską 3,5 miliona dolarów. Po załamaniu jego kapitalizacja rynkowa spadła do około 2 800 dolarów. Wolumen obrotu wzrósł do około 103 000 dolarów w ciągu 24 godzin, gdy posiadacze tokenów wycofywali się z rynku, a inwestorzy arbitrażowi zbierali resztki.

Historyczne maksimum wartości tokenu wyniosło 1,42 dolara w maju 2025 roku. Odłączenie się od parytetu 22 lipca stało się nowym historycznym minimum. 42DAO nie ogłosiło planu naprawczego ani rekompensaty dla poszkodowanych użytkowników. Skradzione BTCB pozostają pod kontrolą atakującego.

Niektóre narzędzia monitorujące zarejestrowały tysiące transakcji w ciągu kilku godzin po ataku, z których wiele stanowiły transakcje kupna – jest to typowy schemat zachowania spekulantów ścigających token, który stracił powiązanie z BTC, w nadziei na odbicie lub szybką transakcję arbitrażową. Aktywność ta nie przywróciła jednak powiązania z BTC.

Pozycja Balance Coin w rankingach głównych agregatorów spadła głęboko do dolnej części tysięcy, a płynność, która już przed atakiem była niewielka, w dużej mierze zniknęła. Statystyki CoinMarketCap wskazują, że podaż BLC w obiegu jest „zgłaszana przez samych użytkowników”, a moneta ma ponad 18 000 posiadaczy.

Część dłuższego trendu

Balance Coin dołączył teraz do długiej listy stablecoinów, którym nie udało się utrzymać powiązania z dolarem. TerraUSD stracił swoją wartość w stosunku do dolara w maju 2022 r. w wyniku krachu, który zniszczył dziesiątki miliardów dolarów i sprowadził wartość jego siostrzanego tokena LUNA niemal do zera. USDC firmy Circle na krótko stracił powiązanie z dolarem w marcu 2023 r. po upadku Silicon Valley Bank, choć sytuacja się poprawiła, gdy potwierdzono bezpieczeństwo rezerw. Mniejsze projekty, takie jak Iron Finance, Beanstalk i aUSD firmy Acala, doświadczyły w poprzednich latach podobnych załamań spowodowanych exploitami.

Częstą przyczyną są manipulacje oracle. Atakujący podają do protokołu fałszywą cenę, protokół reaguje zgodnie z założeniami, a wartość trafia do atakującego, zanim ktokolwiek zdąży to powstrzymać. Balance Protocol skopiował architekturę większych, bardziej ugruntowanych systemów, takich jak MakerDAO, ale pominął zabezpieczenia, które systemy te wprowadziły po latach sytuacji, w których o mało nie doszło do katastrofy.

Dlaczego ma to znaczenie

Rynek Balance Coin był niewielki w porównaniu z głównymi stablecoinami, takimi jak USDT i USDC. Niemniej jednak każda taka luka w zabezpieczeniach wpisuje się w schemat, który organy regulacyjne i użytkownicy bacznie obserwują. W 2026 r. nadzór nad stablecoinami w Stanach Zjednoczonych będzie odbywał się na podstawie ustawy GENIUS Act, która wywiera presję na emitentów, aby udowodnili, że ich rezerwy i systemy są w stanie wytrzymać sytuacje kryzysowe.

Na razie Balance Coin notuje się na poziomie bliskim zeru. Zabezpieczenie w postaci „wrapped bitcoina” opartego na BNB, które kiedyś stanowiło jego pokrycie, znajduje się w portfelu poza kontrolą 42DAO, a protokół nie poinformował jeszcze, co będzie dalej.