Еще одна стейблкоин пошла ко дну: курс BLC обвалился с 1 доллара до практически нулевой стоимости

Компании по обеспечению безопасности Peckshield и Slowmist подтвердили факт атаки в течение нескольких часов после её совершения. Peckshield первоначально оценила ущерб в сумму около 915 000 долларов. Позже Slowmist уточнила эту цифру до примерно 912 000 долларов и опубликовала технический анализ того, как злоумышленнику удалось осуществить атаку.

До атаки курс Balance Coin (BLC) колебался в диапазоне от 0,995 до 1,00 доллара. В течение нескольких часов он упал примерно до 0,0014 доллара, а затем продолжил падение до уровня от 0,0008 до 0,0013 доллара на основных биржах. Позже Coinmarketcap показал цену, близкую к дневному минимуму в 0,000795 доллара, что соответствует падению за 24 часа на 99,92%.

Как работал эксплойт

Протокол Balance использует систему обеспеченного долга, построенную по образцу MakerDAO, которая теперь известна как Пользователи блокируют BTCB — привязанную к Binance версию биткоина — в хранилищах и чеканят BLC под его залог. Оракул цен отслеживает стоимость этого залога. Когда соотношение между долгом и залогом падает слишком низко, протокол ликвидирует хранилище.

Злоумышленник использовал функцию poke контракта Spotter, чтобы внести искусственно заниженную цену BTCB в бухгалтерский контракт системы. Оракул принял это значение, не сверяя его с рыночными ценами. На первый взгляд благополучные хранилища внезапно оказались неплатежеспособными. Модуль Dog, отвечающий за ликвидации, изъял залог в рамках одной транзакции, а злоумышленник продал его на Pancakeswap с целью получения прибыли.

Slowmist назвала это комбинацией из одной транзакции, которая воспользовалась отсутствием защиты от ценовых рисков и отсутствием задержки ликвидации в системе типа Maker. Ни один из закрытых ключей не был скомпрометирован. Протокол доверился значению, которое следовало бы подвергнуть сомнению.

Записи блокчейна указывают на хэш одной транзакции как на основной путь эксплуатации уязвимости, наряду с адресом кошелька злоумышленника, контрактом жертвы, контрактом Spotter и контрактом Dog, используемым для ликвидаций. Следователи проследили каждый шаг — от ввода ложного значения цены до окончательной продажи на Pancakeswap, подробно описав, как вызов функции, выглядевший вполне легитимным, принес злоумышленнику доход в размере 912 000 долларов.

Сообщается, что в архитектуре проекта отсутствовали несколько стандартных мер безопасности:

• Отсутствовали проверки отклонений цен по отношению к внешним рынкам.
• Отсутствовали ограничения на максимальное падение цены в данных оракула.
• Отсутствие минимального ценового порога для выявления явно ложных показаний.
• Отсутствие задержки между обновлением цены и ликвидацией.

Последствия для рынка

До атаки объем Balance Coin в обращении составлял около 3,5 миллиона токенов, что давало ему номинальную стоимость, близкую к 3,5 миллионам долларов. После обвала его рыночная капитализация упала примерно до 2 800 долларов. Объем торгов за 24 часа взлетел до примерно 103 000 долларов, поскольку держатели токенов выходили из рынка, а арбитражные трейдеры подбирали остатки.

Исторический максимум токена составил 1,42 доллара в мае 2025 года. Отрыв от привязки 22 июля стал его новым историческим минимумом. 42DAO не объявило ни о плане восстановления, ни о компенсации для пострадавших пользователей. Похищенные BTCB по-прежнему находятся под контролем злоумышленника.

Некоторые трекеры зафиксировали тысячи транзакций в течение нескольких часов после атаки, многие из которых были сделками на покупку — типичная картина, когда спекулянты бросаются на токен, потерявший привязку, в надежде на отскок или быструю арбитражную сделку. Эта активность не привела к восстановлению привязки.

Рейтинг Balance Coin на крупных агрегаторах резко упал в нижнюю часть тысячной шкалы, а ликвидность, которая и до атаки была низкой, практически исчезла. По данным CoinMarketCap, объем монет BLC в обращении указан «по данным самих разработчиков», а у монеты более 18 000 держателей.

Часть более длительной тенденции

Balance Coin теперь входит в длинный список стейблкоинов, которым не удалось удержать привязку. TerraUSD потерял свою долларовую стоимость в мае 2022 года в результате краха, который уничтожил десятки миллиардов долларов и обвалил курс его «родственного» токена LUNA почти до нуля. USDC от Circle на короткое время утратил привязку в марте 2023 года после краха Silicon Valley Bank, хотя и восстановился, как только было подтверждено, что резервы в безопасности. Меньшие проекты, такие как Iron Finance, Beanstalk и aUSD от Acala, в предыдущие годы пережили аналогичные обвалы, вызванные эксплойтами.

Манипуляции с оракулами являются одной из повторяющихся причин. Злоумышленники подают в протокол ложную цену, протокол реагирует в соответствии с заложенной логикой, и средства переходят к злоумышленнику, прежде чем кто-либо успевает это предотвратить. Balance Protocol скопировал архитектуру более крупных и устоявшихся систем, таких как MakerDAO, но не включил защитные механизмы, которые эти системы добавили после многих лет опасных инцидентов.

Почему это важно

Рынок Balance Coin был небольшим по сравнению с крупными стейблкоинами, такими как USDT и USDC. Тем не менее, каждый подобный эксплойт вписывается в общую картину, за которой внимательно следят регуляторы и пользователи. В 2026 году надзор за стейблкоинами в США осуществляется в соответствии с законом GENIUS, который обязывает эмитентов доказать наличие резервов и способность их систем выдерживать нагрузки в стрессовых ситуациях.

На данный момент Balance Coin торгуется по цене, близкой к нулю. Обеспечение в виде «обернутого» биткоина на основе BNB, которое когда-то обеспечивало его, находится в кошельке, не подконтрольном 42DAO, и протокол пока не сообщил, что будет дальше.