Một đồng stablecoin nữa lại “ra đi” khi BLC lao dốc từ 1 USD xuống gần như không còn giá trị

Các công ty bảo mật Peckshield và Slowmist đã xác nhận vụ tấn công chỉ vài giờ sau khi sự việc xảy ra. Peckshield ban đầu ước tính thiệt hại gần $915,000. Slowmist sau đó điều chỉnh con số này xuống còn khoảng $912,000 và công bố phân tích kỹ thuật chi tiết về cách thức kẻ tấn công thực hiện vụ việc.

Trước khi vụ tấn công xảy ra, Balance Coin (BLC) được giao dịch ở mức khoảng $0.995 đến $1.00. Chỉ trong vài giờ, giá đã giảm xuống còn khoảng $0.0014, sau đó tiếp tục lao dốc xuống mức từ $0.0008 đến $0.0013 trên các nền tảng theo dõi chính. Coinmarketcap sau đó cho thấy mức giá gần mức thấp nhất trong ngày là 0,000795 USD, tương đương mức giảm 99,92% trong 24 giờ.

Cách thức khai thác hoạt động

Balance Protocol vận hành một hệ thống nợ có thế chấp được mô phỏng theo MakerDAO, hiện được gọi là Người dùng khóa BTCB (phiên bản Bitcoin được neo giá với Binance) vào các kho (vault) và đúc BLC dựa trên đó. Một oracle giá theo dõi giá trị của tài sản thế chấp đó. Khi tỷ lệ giữa nợ và tài sản thế chấp giảm xuống quá thấp, giao thức sẽ thanh lý kho.

Kẻ tấn công đã sử dụng chức năng "poke" của hợp đồng Spotter để đẩy một mức giá BTCB thấp giả tạo vào hợp đồng kế toán của hệ thống. Oracle đã chấp nhận con số này mà không đối chiếu với giá thị trường. Các kho lưu trữ vốn dĩ lành mạnh bỗng nhiên bị coi là mất khả năng thanh toán. Mô-đun Dog, chịu trách nhiệm xử lý việc thanh lý, đã thu giữ tài sản thế chấp trong một giao dịch duy nhất và kẻ tấn công đã bán chúng trên Pancakeswap để thu lợi nhuận.

Slowmist gọi đây là một chuỗi giao dịch kết hợp đã khai thác lỗ hổng thiếu cơ chế bảo vệ giá và thiếu thời gian trì hoãn thanh lý trong hệ thống theo mô hình Maker. Không có khóa riêng tư nào bị lộ. Giao thức đã tin tưởng vào một con số mà lẽ ra phải nghi ngờ.

Các bản ghi blockchain chỉ ra một mã băm giao dịch duy nhất là đường dẫn khai thác chính, cùng với địa chỉ ví của kẻ tấn công, hợp đồng nạn nhân, hợp đồng Spotter và hợp đồng Dog được sử dụng cho việc thanh lý. Các nhà điều tra đã theo dõi từng bước từ việc nhập giá sai cho đến giao dịch bán cuối cùng trên Pancakeswap, cung cấp một bản tường trình đầy đủ về cách một lệnh gọi hàm trông có vẻ hợp lệ đã biến thành khoản lợi nhuận $912,000.

Theo báo cáo, thiết kế thiếu một số biện pháp bảo vệ tiêu chuẩn:

• Không có kiểm tra độ lệch giá so với các thị trường bên ngoài.
• Không có giới hạn mức giảm tối đa đối với nguồn cấp dữ liệu oracle.
• Không có mức giá sàn để phát hiện các giá trị rõ ràng là sai.
• Không có độ trễ giữa việc cập nhật giá và thanh lý.

Hậu quả trên thị trường

Trước khi xảy ra cuộc tấn công, nguồn cung lưu hành của Balance Coin ở mức gần 3,5 triệu token, mang lại giá trị danh nghĩa gần 3,5 triệu USD. Sau sự sụp đổ, vốn hóa thị trường của nó giảm xuống còn khoảng 2.800 USD. Khối lượng giao dịch tăng vọt lên khoảng $103.000 trong 24 giờ khi các nhà đầu tư rút vốn và các nhà giao dịch chênh lệch giá tận dụng cơ hội từ thị trường.

Mức cao nhất mọi thời đại của token này là $1,42 vào tháng 5 năm 2025. Sự mất neo vào ngày 22 tháng 7 đã trở thành mức thấp nhất mọi thời đại mới của nó. 42DAO chưa công bố kế hoạch phục hồi hoặc bồi thường cho người dùng bị ảnh hưởng. Số BTCB bị rút cạn vẫn nằm dưới sự kiểm soát của kẻ tấn công.

Một số công cụ theo dõi đã ghi nhận hàng nghìn giao dịch trong những giờ sau vụ tấn công, phần lớn là các giao dịch mua — một mô hình thường thấy khi các nhà đầu cơ săn lùng token bị mất neo giá với hy vọng phục hồi hoặc thực hiện giao dịch chênh lệch giá nhanh chóng. Hoạt động này không giúp khôi phục mức neo giá.

Xếp hạng của Balance Coin trên các trang tổng hợp lớn đã tụt sâu xuống hàng nghìn cuối cùng, và thanh khoản vốn đã mỏng trước vụ tấn công nay gần như biến mất hoàn toàn. Dữ liệu từ CoinMarketCap cho biết nguồn cung lưu hành của BLC là “tự báo cáo” và đồng coin này có hơn 18.000 chủ sở hữu.

Một phần của xu hướng dài hạn

Balance Coin hiện là một trong số rất nhiều stablecoin không thể duy trì tỷ giá neo. TerraUSD đã mất giá trị so với đồng USD vào tháng 5 năm 2022 trong một đợt sụp đổ khiến hàng chục tỷ USD bốc hơi và kéo đồng token chị em LUNA xuống gần mức 0. USDC của Circle cũng từng tạm thời mất tỷ giá neo vào tháng 3 năm 2023 sau khi Ngân hàng Silicon Valley sụp đổ, dù đã phục hồi ngay sau khi dự trữ được xác nhận an toàn. Các dự án nhỏ hơn như Iron Finance, Beanstalk và aUSD của Acala cũng từng trải qua những đợt sụp đổ tương tự do bị khai thác lỗ hổng trong những năm trước.

Việc thao túng Oracle là một nguyên nhân thường xuyên xảy ra. Kẻ tấn công cung cấp giá sai cho giao thức, giao thức phản ứng theo thiết kế và giá trị chuyển sang tay kẻ tấn công trước khi ai có thể ngăn chặn được. Balance Protocol đã sao chép kiến trúc của các hệ thống lớn hơn, đã được thiết lập vững chắc hơn như MakerDAO nhưng lại bỏ qua các rào cản mà các hệ thống đó đã bổ sung sau nhiều năm suýt gặp sự cố.

Tại sao điều này lại quan trọng

Thị trường của Balance Coin còn nhỏ so với các stablecoin lớn như USDT và USDC. Tuy nhiên, mỗi vụ khai thác như thế này đều góp phần tạo nên một xu hướng mà các cơ quan quản lý và người dùng đang theo dõi chặt chẽ. Vào năm 2026, việc giám sát stablecoin tại Hoa Kỳ sẽ được thực hiện theo Đạo luật GENIUS, tạo áp lực buộc các nhà phát hành phải chứng minh dự trữ của họ và hệ thống của họ có thể chịu đựng được áp lực.

Hiện tại, Balance Coin đang giao dịch ở mức gần bằng không. Tài sản thế chấp là bitcoin được bọc (wrapped bitcoin) dựa trên BNB từng được dùng để đảm bảo cho đồng tiền này hiện đang nằm trong một ví nằm ngoài sự kiểm soát của 42DAO, và giao thức này vẫn chưa đưa ra thông báo về những bước tiếp theo.