BLC’nin Değeri 1 Dolardan Neredeyse Sıfıra Düşmesiyle Bir Stablecoin Daha Ortadan Kalktı

Güvenlik firmaları Peckshield ve Slowmist, saldırıdan birkaç saat sonra bu istismarı doğruladı. Peckshield, kayıpları ilk olarak 915.000 $ civarında tahmin etmişti. Slowmist daha sonra bu rakamı yaklaşık 912.000 $ olarak revize etti ve saldırganın bunu nasıl başardığına dair teknik bir analiz yayınladı.

Saldırıdan önce Balance Coin (BLC), 0,995 $ ile 1,00 $ arasında işlem görüyordu. Birkaç saat içinde fiyat yaklaşık 0,0014 $'a düştü, ardından büyük takip platformlarında 0,0008 $ ile 0,0013 $ arasına geriledi. Coinmarketcap daha sonra, gün içi en düşük seviyesi olan 0,000795 $'a yakın bir fiyat gösterdi; bu, 24 saat içinde %99,92'lik bir düşüşe tekabül ediyordu.

Saldırı Nasıl Gerçekleşti?

Balance Protocol, MakerDAO’yu örnek alan teminatlı bir borç sistemi işletiyor. Kullanıcılar, Binance’in sabitlenmiş bitcoin versiyonu olan BTCB’yi kasalara kilitliyor ve buna karşılık BLC basıyor. Bir fiyat oracle'ı bu teminatın değerini takip eder. Borç ve teminat arasındaki oran çok düşük bir seviyeye düştüğünde, protokol kasayı tasfiye eder.

Saldırgan, Spotter sözleşmesinin "poke" işlevini kullanarak sistemin muhasebe sözleşmesine yapay olarak düşük bir BTCB fiyatı girmiştir. Oracle, bu rakamı piyasa fiyatlarıyla karşılaştırmadan kabul etmiştir. Sağlıklı görünen kasalar birdenbire iflas etmiş gibi göründü. Tasfiyeleri yöneten Dog modülü, tek bir işlemle teminatı el koydu ve saldırgan bunu Pancakeswap’te satarak kâr elde etti.

Slowmist, bunu Maker tarzı bir sistemde eksik fiyat koruması ve likidasyon gecikmesinden yararlanan tek bir işlem kombinasyonu olarak nitelendirdi. Hiçbir özel anahtar ele geçirilmedi. Protokol, sorgulaması gereken bir rakama güvenmişti.

Blockchain kayıtları, saldırganın cüzdan adresi, kurban sözleşmesi, Spotter sözleşmesi ve likidasyonlar için kullanılan Dog sözleşmesinin yanı sıra, tek bir işlem hash'ini birincil istismar yolu olarak gösteriyor. Araştırmacılar, yanlış fiyat girişinden Pancakeswap'taki nihai satışa kadar her adımı takip ederek, meşru görünen bir işlev çağrısının nasıl 912.000 dolarlık bir kazanca dönüştüğünü ayrıntılı bir şekilde ortaya koydu.

Tasarımda birkaç standart güvenlik önleminin eksik olduğu bildirildi:

• Dış piyasalara göre fiyat sapma kontrolleri yoktu.
• Oracle beslemesinde maksimum değer kaybı sınırı yoktu.
• Bariz şekilde yanlış okumaları yakalamak için fiyat tabanı yoktu.
• Fiyat güncellemesi ile likidasyon arasında gecikme yoktu.

Piyasadaki Etkiler

Saldırıdan önce, Balance Coin'in dolaşımdaki arzı 3,5 milyon token civarındaydı ve bu da ona 3,5 milyon dolara yakın bir nominal değer kazandırıyordu. Çöküşün ardından piyasa değeri yaklaşık 2.800 dolara düştü. Tüccarların piyasadan çıkması ve arbitraj tüccarlarının kalanları toplamasının ardından, 24 saat içinde işlem hacmi yaklaşık 103.000 dolara yükseldi.

Token'ın tüm zamanların en yüksek seviyesi Mayıs 2025'te 1,42 dolardı. 22 Temmuz'daki sabitlik kaybı ise yeni tüm zamanların en düşük seviyesi oldu. 42DAO, etkilenen kullanıcılar için bir kurtarma planı veya tazminat açıklamadı. Çalınan BTCB, saldırganın kontrolü altında kalmaya devam ediyor.

Bazı izleme araçları, saldırının ardından geçen saatlerde binlerce işlem kaydetti; bunların çoğu alım işlemleriydi. Bu, spekülatörlerin bir toparlanma veya hızlı bir arbitraj ticareti umuduyla sabitlenmemiş bir tokeni takip etmeleri durumunda sıkça görülen bir durumdur. Bu hareketlilik, sabitlenmeyi geri getirmemiştir.

Balance Coin’in büyük agregatörlerdeki sıralaması binlerin alt sıralarına kadar düştü ve saldırı öncesinde zaten zayıf olan likidite büyük ölçüde ortadan kayboldu. Coinmarketcap istatistiklerine göre, BLC’nin dolaşımdaki arzı “kendi beyanına göre” belirleniyor ve coin’in 18.000’den fazla sahibi bulunuyor.

Daha Uzun Süreli Bir Eğilimin Parçası

Balance Coin, artık sabit değerini koruyamayan uzun bir stabilcoin listesinin bir parçası haline geldi. TerraUSD, Mayıs 2022’de on milyarlarca doları silip süpüren ve kardeş tokenı LUNA’yı sıfıra yakın bir seviyeye sürükleyen bir çöküşte dolar değerini kaybetti. Circle'ın USDC'si, Silicon Valley Bank'ın iflasının ardından Mart 2023'te kısa süreliğine sabitlikten çıktı, ancak rezervlerin güvenli olduğu teyit edildikten sonra toparlandı. Iron Finance, Beanstalk ve Acala'nın aUSD'si gibi daha küçük projeler de önceki yıllarda benzer istismar kaynaklı çöküşler yaşadı.

Oracle manipülasyonu, tekrarlayan bir nedendir. Saldırganlar bir protokole yanlış bir fiyat girer, protokol tasarlandığı gibi tepki verir ve kimse bunu durduramadan değer saldırgana geçer. Balance Protocol, MakerDAO gibi daha büyük ve köklü sistemlerin mimarisini kopyaladı, ancak bu sistemlerin yıllar süren kıl payı kurtulmaların ardından ekledikleri güvenlik önlemlerini dışarıda bıraktı.

Neden Önemli?

Balance Coin'in pazarı, USDT ve USDC gibi büyük stabilcoinlerin yanında küçüktü. Yine de, bunun gibi her bir istismar vakası, düzenleyicilerin ve kullanıcıların yakından takip ettiği bir eğilime katkıda bulunuyor. 2026 yılında, Amerika Birleşik Devletleri’ndeki stabilcoin denetimi, ihraççılara rezervlerini kanıtlamaları ve sistemlerinin stres altında dayanıklı olduğunu göstermeleri için baskı uygulayan GENIUS Yasası kapsamında yürütülecektir.

Şu an için Balance Coin, sıfıra yakın bir seviyede işlem görüyor. Bir zamanlar bu coin’i destekleyen BNB tabanlı “wrapped bitcoin” teminatı, 42DAO’nun kontrolü dışındaki bir cüzdanda bulunuyor ve protokol, bundan sonra ne olacağına dair henüz bir açıklama yapmadı.