Mais uma stablecoin vai por água abaixo: a BLC despenca de US$ 1 para quase nada

As empresas de segurança Peckshield e Slowmist confirmaram a exploração poucas horas após o ataque. A Peckshield estimou inicialmente o prejuízo em cerca de US$ 915.000. Posteriormente, a Slowmist refinou esse valor para cerca de US$ 912.000 e publicou uma análise técnica detalhada de como o invasor conseguiu realizar o ataque.

A Balance Coin (BLC) era negociada entre US$ 0,995 e US$ 1,00 antes do ataque. Em poucas horas, ela caiu para cerca de US$ 0,0014, e depois desceu ainda mais, para valores entre US$ 0,0008 e US$ 0,0013 nos principais rastreadores. Posteriormente, o Coinmarketcap mostrou um preço próximo à mínima intradiária de US$ 0,000795, uma queda de 99,92% em 24 horas.

Como a exploração funcionou

O Balance Protocol opera um sistema de dívida garantida inspirado no MakerDAO, agora conhecido como Os usuários bloqueiam o BTCB — a versão do bitcoin indexada à Binance — em cofres e cunham BLC com base nele. Um oráculo de preços acompanha o valor dessa garantia. Quando a relação entre dívida e garantia cai muito, o protocolo liquida o cofre.

O invasor usou a função “poke” do contrato Spotter para inserir um preço artificialmente baixo do BTCB no contrato contábil do sistema. O oráculo aceitou o valor sem verificá-lo em relação aos preços de mercado. Cofres que estavam em boa situação financeira passaram repentinamente a parecer insolventes. O módulo Dog, responsável pelas liquidações, apreendeu a garantia em uma única transação, e o invasor a vendeu no Pancakeswap, obtendo lucro.

A Slowmist classificou o incidente como uma combinação de transações únicas que explorou a falta de proteção de preço e a ausência de um atraso de liquidação em um sistema do tipo Maker. Nenhuma chave privada foi comprometida. O protocolo confiou em um valor que deveria ter questionado.

Os registros da blockchain apontam para um único hash de transação como a principal via de exploração, juntamente com o endereço da carteira do invasor, um contrato da vítima, o contrato Spotter e o contrato Dog usado para liquidações. Os investigadores rastrearam cada etapa, desde a inserção do preço falso até a venda final no Pancakeswap, apresentando um relato completo de como uma chamada de função que parecia legítima se transformou em um ganho de US$ 912.000.

Várias medidas de segurança padrão estavam supostamente ausentes do projeto:

• Ausência de verificações de desvio de preço em relação a mercados externos.
• Ausência de limites máximos de drawdown no feed do oráculo.
• Nenhum preço mínimo para detectar leituras obviamente falsas.
• Nenhum intervalo entre a atualização do preço e a liquidação.

Repercussões no mercado

Antes do ataque, a oferta circulante da Balance Coin situava-se em cerca de 3,5 milhões de tokens, o que lhe conferia um valor nominal próximo a US$ 3,5 milhões. Após o colapso, sua capitalização de mercado caiu para aproximadamente US$ 2.800. O volume de negociação disparou para cerca de US$ 103.000 em 24 horas, à medida que os detentores vendiam suas participações e os operadores de arbitragem aproveitavam as oportunidades deixadas pelo colapso.

A máxima histórica do token foi de US$ 1,42 em maio de 2025. A perda da paridade em 22 de julho tornou-se sua nova mínima histórica. A 42DAO não anunciou um plano de recuperação nem indenização para os usuários afetados. Os BTCB drenados permanecem sob o controle do invasor.

Alguns rastreadores registraram milhares de transações nas horas seguintes à exploração da vulnerabilidade, muitas delas compras — um padrão comum quando especuladores perseguem um token que perdeu a paridade, na esperança de uma recuperação ou de uma operação rápida de arbitragem. A atividade não restaurou a paridade.

A classificação da Balance Coin nos principais agregadores caiu para a parte inferior dos milhares, e a liquidez, que já era escassa antes do ataque, desapareceu em grande parte. As estatísticas do CoinMarketCap indicam que a oferta circulante de BLC é “autodeclarada” e que a moeda tem mais de 18.000 detentores.

Parte de um padrão mais longo

A Balance Coin agora faz parte de uma longa lista de stablecoins que não conseguiram manter sua paridade. O TerraUSD perdeu seu valor em dólares em maio de 2022, em um colapso que eliminou dezenas de bilhões de dólares e arrastou seu token irmão, o LUNA, para perto de zero. O USDC, da Circle, perdeu temporariamente sua paridade em março de 2023 após a falência do Silicon Valley Bank, embora tenha se recuperado assim que as reservas foram confirmadas como seguras. Projetos menores, como Iron Finance, Beanstalk e o aUSD da Acala, sofreram colapsos semelhantes causados por explorações de vulnerabilidades em anos anteriores.

A manipulação de oráculos é uma causa recorrente. Os invasores inserem um preço falso no protocolo, o protocolo reage conforme projetado e o valor é transferido para o invasor antes que alguém possa impedir. O Balance Protocol copiou a arquitetura de sistemas maiores e mais consolidados, como o MakerDAO, mas deixou de fora as proteções que esses sistemas adicionaram após anos de quase acidentes.

Por que isso importa

O mercado da Balance Coin era pequeno em comparação com as principais stablecoins, como USDT e USDC. Ainda assim, cada exploração como essa contribui para um padrão que reguladores e usuários estão acompanhando de perto. Em 2026, a supervisão das stablecoins nos Estados Unidos será regida pela Lei GENIUS, que pressiona os emissores a comprovarem que suas reservas e seus sistemas são capazes de resistir a situações de estresse.

Por enquanto, a Balance Coin é negociada a um valor próximo de zero. A garantia em “wrapped bitcoin” baseada em BNB que antes a respaldava está em uma carteira fora do controle da 42DAO, e o protocolo ainda não informou o que acontecerá a seguir.