Ще один стейблкоін пішов на дно: вартість BLC впала з 1 долара майже до нуля

Компанії з кібербезпеки Peckshield та Slowmist підтвердили факт експлойта вже через кілька годин після атаки. Спочатку Peckshield оцінила збитки приблизно в 915 000 доларів. Пізніше Slowmist уточнила цю цифру до близько 912 000 доларів і опублікувала технічний аналіз того, як зловмиснику вдалося здійснити атаку.

Перед атакою курс Balance Coin (BLC) коливався в діапазоні від 0,995 до 1,00 долара. Протягом кількох годин він впав приблизно до 0,0014 долара, а потім на основних трекерах продовжив знижуватися до рівня від 0,0008 до 0,0013 долара. Пізніше Coinmarketcap показав ціну, близьку до внутрішньоденного мінімуму в 0,000795 долара, що відповідає 24-годинному падінню на 99,92%.

Як працювала уразливість

Balance Protocol використовує систему забезпечених боргів, створену за зразком MakerDAO, яка зараз відома як Користувачі блокують BTCB — прив’язану до Binance версію біткойна — у сховищах і випускають BLC під його заставу. Оракул цін відстежує вартість цього забезпечення. Коли співвідношення між боргом і забезпеченням падає занадто низько, протокол ліквідує сховище.

Зловмисник використав функцію poke контракту Spotter, щоб ввести штучно занижену ціну BTCB у бухгалтерський контракт системи. Оракул прийняв це значення, не перевіривши його на відповідність ринковим цінам. Сховища, що раніше були фінансово стійкими, раптово стали виглядати неплатоспроможними. Модуль Dog, який відповідає за ліквідації, конфіскував заставу в рамках однієї транзакції, а зловмисник продав її на Pancakeswap, отримавши прибуток.

Компанія Slowmist назвала це комбінацією з однієї транзакції, яка скористалася відсутністю захисту від цінових коливань та відсутністю затримки ліквідації в системі типу Maker. Жодні приватні ключі не були скомпрометовані. Протокол довірився цифрі, яку мав би піддати сумніву.

Записи блокчейну вказують на хеш однієї транзакції як основний шлях експлойту, а також на адресу гаманця зловмисника, контракт жертви, контракт Spotter та контракт Dog, що використовувався для ліквідацій. Розслідувачі простежили кожен крок — від введення помилкового значення ціни до остаточного продажу на Pancakeswap, надавши повний опис того, як виклик функції, що виглядав цілком законним, перетворився на прибуток у розмірі 912 000 доларів.

Як повідомляється, у дизайні проєкту бракувало кількох стандартних заходів безпеки:

• Відсутність перевірок відхилень цін від зовнішніх ринків.
• Відсутність обмежень на максимальне падіння цін у даних оракула.
• Відсутність мінімального рівня ціни для виявлення явно помилкових значень.
• Відсутність затримки між оновленням ціни та ліквідацією.

Наслідки для ринку

До атаки обсяг Balance Coin у обігу становив близько 3,5 мільйона токенів, що давало номінальну вартість близько 3,5 мільйона доларів. Після краху ринкова капіталізація впала приблизно до 2 800 доларів. Обсяг торгів зріс до близько 103 000 доларів за 24 години, оскільки власники виходили з ринку, а арбітражні трейдери перебирали залишки.

Історичний максимум токена становив 1,42 долара у травні 2025 року. Відхилення від прив’язки 22 липня стало його новим історичним мінімумом. 42DAO не оголосило про план відновлення або компенсацію для постраждалих користувачів. Викрадені BTCB залишаються під контролем зловмисника.

Деякі трекери зафіксували тисячі транзакцій у перші години після експлойта, багато з яких були покупками — це типова ситуація, коли спекулянти кидаються на токен, що втратив прив'язку, сподіваючись на відскок або швидку арбітражну операцію. Ця активність не допомогла відновити прив'язку.

Рейтинг Balance Coin на основних агрегаторах різко впав до нижніх тисяч, а ліквідність, яка й до атаки була низькою, практично зникла. За даними CoinMarketCap, обсяг BLC в обігу є «самодекларованим», а монета має понад 18 000 власників.

Частина тривалої тенденції

Balance Coin тепер є одним із багатьох стейблкоінів, яким не вдалося утримати прив'язку. TerraUSD втратив свою доларову вартість у травні 2022 року під час краху, який знищив десятки мільярдів доларів і звів його «сестринський» токен LUNA майже до нуля. USDC від Circle на короткий час втратив прив’язку до долара в березні 2023 року після банкрутства Silicon Valley Bank, хоча відновився, щойно було підтверджено безпеку резервів. Менші проєкти, такі як Iron Finance, Beanstalk та aUSD від Acala, зазнали подібних крахів, спричинених експлойтами, у попередні роки.

Маніпуляції з оракулами є поширеною причиною таких випадків. Зловмисники подають протоколу хибну ціну, протокол реагує відповідно до свого дизайну, і вартість переходить до зловмисника, перш ніж хтось встигне це зупинити. Balance Protocol скопіював архітектуру більших, більш усталених систем, таких як MakerDAO, але не врахував захисних механізмів, які ці системи додали після років «майже катастроф».

Чому це важливо

Ринок Balance Coin був невеликим порівняно з основними стейблкоінами, такими як USDT та USDC. Проте кожна подібна атака підкріплює тенденцію, за якою пильно стежать регулятори та користувачі. У 2026 році нагляд за стейблкоінами у Сполучених Штатах здійснюватиметься відповідно до Закону GENIUS, який змушує емітентів доводити наявність своїх резервів та здатність їхніх систем витримувати навантаження в стресових ситуаціях.

Наразі Balance Coin торгується на рівні, близькому до нуля. Забезпечення у вигляді «обгорнутого» біткойна на базі BNB, яке колись підкріплювало монету, зберігається у гаманці, що не підконтрольний 42DAO, і протокол ще не повідомив, що буде далі.