Balance Coin stürzt um 99% ab, nachdem ein Oracle-Angriff 42DAO $912.000 entwendet hat

Balance Coin fiel am Mittwoch um ~99 %, nachdem ein Angreifer ihren BTCB-Preis-Oracle verfälschte und $912.000 aus dem Treasury des Projekts abräumte, wodurch es fast seinen gesamten Wert verlor. 

Balance Coin (BLC) ist ein algorithmischer Stablecoin, der an den Dollar gebunden ist; er ist darauf ausgelegt, bei $1 zu handeln und nichts weiter. Er handelte am Dienstag bei etwa $0,9954, fiel aber bis Mittwochfrüh auf einen Bruchteil eines Cents und handelte bei etwa $0,0014, wobei einige andere Tracker ihn näher bei $0,0025 einordneten. 

Wie auch immer, bis spät am Mittwoch, Balance Coin hat fast ihren gesamten nominalen Wert von $3.5 Millionen verloren. 

Ein täuschender Bitcoin-Preis, der sichere Vaults zu Liquidationszielen machte

Balance Protocol verwendet ein Maker-ähnliches Setup. Es ermöglicht Nutzern, Sicherheiten zu hinterlegen, typischerweise Bitcoin Cash (BCH), sowie Binance-gepflocktes Bitcoin (BTCB) und USDT, und BLC dagegen zu prägen. Sobald der Wert dieser Sicherheit weit unter die Schuld fällt, liquidieren das Protokoll die Position sofort und verkaufen die Sicherheiten.

Der Diebstahl wurde von der Sicherheitsfirma SlowMist auf den Median-Oracle des Protokolls zurückgeführt. Der Median-Oracle ist die Preisdatenbank, die das System darüber informiert, wie viel BTCB wert ist. 

Der Angreifer gab über die ‚Poke‘-Funktion im Spotter-Vertrag einen ungewöhnlich niedrigen Preis in die Datenbank ein und löste daraufhin Liquidationen über das Dog-Modul aus. In den Worten von SlowMist hatte der Spotter keine zeitgewichtete durchschnittliche Preisdatenbank, eine Schrankenprüfung, die Preise, die weit vom Markt abweichen, ablehnen könnte, und eine Liquidationsverzögerung 

Ohne diese Maßnahmen wurden sichere Vaults plötzlich insolvent, und der Dieb liquidieren sie zum gefälschten Preis und ging mit den Sicherheiten in einer einzigen Transaktion davon.

Gepägte Token wurden direkt über PancakeSwap geleitet

Der Diebstahl ging über die Vaults hinaus. Der Angreifer prägte ~4,5 Millionen BLC von einer Null-Adresse über einen korrupten GemJoin-Vertrag und leitete diese Token zu PancakeSwap V2 weiter, tauschte sie gegen BSC-USD und BTCB; dies verwandelte frisch geschaffene Münzen in echte Vermögenswerte. 

Zwei Stunden später wurde eine zweite Transaktion gemeldet, die 5.900 BLC prägte. 

Diese Welle ungedeckter Versorgung war es, die BLC in Echtzeit von ihrem Ziel abdriftete. Da der Mechanismus, der die Verankerung halten sollte, derselbe war, den der Angreifer nutzte, um sie zu brechen. 

Der CertiK-Audit verpasste den Fehler 

In der Vergangenheit hatte 42DAO den CertiK-Audit seines BLC-Prägevertrags als Zeichen seiner Sicherheit hervorgehoben. Dies erwies sich jedoch in diesem Fall als nutzlos, weil, obwohl der Audit legitim war, Standard-Smart-Contract-Audits nach Zugriffssteuerungsfehlern, Reentrancy, Überlauf und Codefehlern suchen. 

Sie betrachten Oracle-Eingaben typischerweise als vertrauenswürdig, anstatt sie als Modellierung eines manipulierten Preis-Feeds als eine Bedrohung im Geltungsbereich zu sehen.

Trotz der Aufnahme von Oracle-Manipulation in die OWASP-Liste der Top 10 Smart Contract 2026 liegen die Maßnahmen, die den Angriff hätten verhindern können, außerhalb des typischen Audit-Umfangs. 

42DAOs System hatte keine der folgenden Maßnahmen: 

• Eine zeitgewichtete durchschnittliche Preisdatenbank 
• Eine Schrankenprüfung, die Preise ablehnen könnte, die weit vom Markt abweichen
• Eine Liquidationsverzögerung ähnlich der einstufigen Oracle Safety Module von MakerDAO. 

Das dritte BNB Chain-Protokoll, das nach einem Angriff verstummte

Innerhalb der letzten zwei Monate wurde der Vorfall am Mittwoch zum dritten großen DeFi-Sicherheitsvorfall auf der BNB Chain. Es ist auch der dritte Vorfall, bei dem das vom Exploit betroffene Team still blieb. 

Ende Mai wurden aus DxScales Legacy-Liquiditäts-Tresoren etwa 7,3 Millionen US-Dollar gestohlen. Anfang Juni verlor TesseraDAO etwa 2,5 Millionen US-Dollar, als ein Angreifer 99 Millionen TSR stahl, indem er eine Kompromittierung des Admin-Schlüssels ausnutzte. 

Diese Serie von Angriffen ist konsistent mit einem jüngsten Trend unter Angreifern im Jahr 2026. Analysten stellten fest, dass Angreifer nicht mehr danach suchen, Code-Bugs auszunutzen, sondern sich auf die Oracles und Governance-Schichten um den Code herum konzentrieren. 

Diese Angriffe finden auch zu einer Zeit statt, in der der Markt vorsichtig gegenüber algorithmischen Stablecoins geworden ist, insbesondere nach dem Zusammenbruch von Terras UST im Jahr 2022 und kürzlich die Depegs von Ethenas USDe und Abracadabras MIM.