Ďalšia stabilná mena skončila v troskách – hodnota BLC sa prepadla z 1 dolára takmer na nulu

Bezpečnostné firmy Peckshield a Slowmist potvrdili tento útok už niekoľko hodín po jeho uskutočnení. Peckshield spočiatku odhadol stratu na takmer 915 000 USD. Spoločnosť Slowmist neskôr tento údaj spresnila na približne 912 000 USD a zverejnila technický rozbor toho, ako útočník tento útok zrealizoval.

Cena Balance Coin (BLC) sa pred útokom pohybovala v rozmedzí 0,995 až 1,00 USD. V priebehu niekoľkých hodín klesla na približne 0,0014 USD a následne na hlavných sledovacích portáloch ďalej klesla na úroveň medzi 0,0008 a 0,0013 USD. Coinmarketcap neskôr uvádzal cenu blízko intradenného minima 0,000795 USD, čo predstavuje 24-hodinový pokles o 99,92 %.

Ako exploit fungoval

Protokol Balance prevádzkuje systém kolateralizovaných dlhov podľa vzoru MakerDAO, teraz známy ako Užívatelia uzamykajú BTCB, verziu bitcoinu viazanú na Binance, do trezorov a proti nemu razia BLC. Cenový orákulum sleduje hodnotu tohto kolaterálu. Keď pomer medzi dlhom a kolaterálom klesne príliš nízko, protokol trezor zlikviduje.

Útočník využil funkciu „poke“ zmluvy Spotter na vtlačenie umelo nízkej ceny BTCB do účtovnej zmluvy systému. Orákulum túto hodnotu prijalo bez overenia voči trhovým cenám. Zdravé trezory zrazu vyzerali ako platobne neschopné. Modul Dog, ktorý spravuje likvidácie, zabavil kolaterál v jednej transakcii a útočník ho predal na Pancakeswap so ziskom.

Spoločnosť Slowmist to označila za kombináciu jednej transakcie, ktorá zneužila chýbajúcu ochranu pred cenovými výkyvmi a chýbajúce oneskorenie likvidácie v systéme typu Maker. Žiadne súkromné kľúče neboli kompromitované. Protokol dôveroval číslu, ktoré mal spochybniť.

Záznamy v blockchainu poukazujú na hash jedinej transakcie ako na primárnu cestu zneužitia, spolu s adresou peňaženky útočníka, zmluvou obete, zmluvou Spotter a zmluvou Dog používanou na likvidácie. Vyšetrovatelia vysledovali každý krok od zadania falošnej ceny až po konečný predaj na Pancakeswap, čím poskytli úplný popis toho, ako sa na prvý pohľad legitímne vyzerajúce volanie funkcie premenilo na zisk vo výške 912 000 USD.

Podľa správ v návrhu chýbalo niekoľko štandardných bezpečnostných opatrení:

• Chýbali kontroly cenových odchýlok voči externým trhom.
• Chýbali maximálne limity poklesu v dátovom kanáli orákula.
• Chýbala minimálna cena na zachytenie zjavne nesprávnych údajov.
• Žiadne oneskorenie medzi aktualizáciou ceny a likvidáciou.

Dopad na trh

Pred útokom sa obeh Balance Coin pohyboval na úrovni približne 3,5 milióna tokenov, čo mu dávalo nominálnu hodnotu takmer 3,5 milióna dolárov. Po kolapse klesla jeho trhová kapitalizácia na približne 2 800 dolárov. Objem obchodovania za 24 hodín vyskočil na približne 103 000 USD, keď držitelia opúšťali projekt a arbitrážní obchodníci zbierali zvyšky.

Historické maximum tokenu bolo 1,42 dolára v máji 2025. Odviazanie od parity 22. júla sa stalo jeho novým historickým minimom. 42DAO nezverejnilo žiadny plán obnovy ani kompenzáciu pre postihnutých používateľov. Vyčerpané BTCB zostávajú pod kontrolou útočníka.

Niektoré sledovacie nástroje zaznamenali v hodinách po útoku tisíce transakcií, z ktorých mnohé boli nákupy – ide o bežný jav, keď špekulanti naháňajú token, ktorý sa odviazal od parity, v nádeji na oživenie ceny alebo rýchly arbitrážny obchod. Táto aktivita však paritu neobnovila.

Pozícia Balance Coin v rebríčkoch hlavných agregátorov klesla hlboko do dolnej časti tisícov a likvidita, ktorá bola už pred útokom nízka, takmer úplne zmizla. Štatistiky Coinmarketcap uvádzajú, že obehová ponuka BLC je „uvádzaná samotným vydavateľom“ a minca má viac ako 18 000 držiteľov.

Súčasť dlhodobejšieho trendu

Balance Coin je teraz jednou z mnohých stabilných mincí, ktorým sa nepodarilo udržať svoju väzbu na dolár. TerraUSD stratila svoju hodnotu voči doláru v máji 2022 pri kolapse, ktorý zničil desiatky miliárd dolárov a stlačil jej sesterský token LUNA takmer na nulu. USDC od spoločnosti Circle sa v marci 2023 na krátko odviazal od dolára po krachu Silicon Valley Bank, hoci sa zotavil, keď sa potvrdilo, že rezervy sú v bezpečí. Menšie projekty, ako sú Iron Finance, Beanstalk a aUSD od Acala, utrpeli v predchádzajúcich rokoch podobné kolapsy spôsobené zneužitím.

Opakovanou príčinou je manipulácia s orákulom. Útočníci zadajú do protokolu falošnú cenu, protokol reaguje podľa návrhu a hodnota prejde k útočníkovi skôr, než to niekto stihne zastaviť. Balance Protocol skopíroval architektúru väčších, etablovanejších systémov, ako je MakerDAO, ale vynechal bezpečnostné mechanizmy, ktoré tieto systémy pridali po rokoch tesne uniknutých katastrof.

Prečo je to dôležité

Trh s Balance Coinom bol v porovnaní s hlavnými stabilnými mincami, ako sú USDT a USDC, malý. Napriek tomu každý takýto útok prispieva k trendu, ktorý regulátori a používatelia pozorne sledujú. V roku 2026 bude dohľad nad stabilnými mincami v Spojených štátoch prebiehať na základe zákona GENIUS Act, ktorý vyvíja tlak na emitentov, aby preukázali, že ich rezervy a systémy vydržia aj v stresových situáciách.

Momentálne sa Balance Coin obchoduje takmer na nule. Zabezpečenie v podobe „wrapped bitcoinu“ založeného na BNB, ktoré ho kedysi krylo, sa nachádza v peňaženke mimo kontroly 42DAO a protokol zatiaľ neoznámil, čo bude ďalej.