Balance Coin se desploma un 99% después de que un ataque de oráculo extrajera 912.000 dólares de 42DAO
- Balance Coin se desplomó aproximadamente un 99% el 22 de julio después de que un atacante sustrajera casi un millón de dólares de la entidad de gobernanza 42DAO.
- Los poseedores de BLC se quedan con tokens que valen una fracción de centavo, y esto se destina al mercado DeFi en general.
- La vulnerabilidad se basaba en la falta de medidas de seguridad básicas, comprobaciones de precios y retrasos en la liquidación, en lugar de en un descifrado de código sofisticado.
Balance Coin cayó aproximadamente un 99% el miércoles, después de que un atacante distorsionara su oráculo de precios BTCB y se llevara 912.000 dólares de la tesorería del proyecto, perdiendo casi todo su valor.
Balance Coin (BLC) es una criptomoneda estable algorítmica vinculada al dólar; está diseñada para cotizar a 1 dólar y nada más. El martes cotizaba a alrededor de 0,9954 dólares, pero a primera hora del miércoles había caído a una fracción de centavo, cotizando a alrededor de 0,0014 dólares, mientras que otros tracla situaban más cerca de los 0,0025 dólares.
En cualquier caso, a última hora del miércoles, Balance Coin había perdido casi la totalidad de su valor nominal de 3,5 millones de dólares.
Un precio engañoso Bitcoin que convirtió a las cajas fuertes en objetivos de liquidación
Balance Protocol utiliza un modelo de creación de mercado. Permite a los usuarios bloquear garantías, generalmente Bitcoin Cash (BCH), así como Bitcoin vinculado a Binance(BTCB) y USDT, y generar BLC a partir de ellas. Una vez que el valor de dicha garantía cae muy por debajo de la deuda, el protocolo liquida instantáneamente la posición y vende el respaldo.
SlowMist, una empresa de seguridad, tracel robo hasta el Oráculo Mediano del protocolo. El Oráculo Mediano es la fuente de precios que informa al sistema sobre el valor de BTCB.
El atacante introdujo un precio inusualmente bajo en el feed mediante la función 'poke' deltracdel Spotter y procedió a activar liquidaciones a través del módulo Dog. En palabras de SlowMist, el Spotter no disponía de un feed de precios promedio ponderado en el tiempo, una comprobación de límites que pudiera rechazar precios que se desviaran mucho del mercado y un retraso en la liquidación
Sin esas medidas, las cajas fuertes se volvieron repentinamente insolventes, y el ladrón las liquidó al precio falso, llevándose la garantía en una sola transacción.
Los tokens acuñados se canalizan directamente a través de PancakeSwap
El robo continuó más allá de las bóvedas. El atacante acuñó aproximadamente 4,5 millones de BLC desde una dirección nula mediante un contrato GemJoin corrupto ytracesos tokens acakeSwap V2, intercambiándolos por BSC-USD y BTCB; esto convirtió las monedas recién creadas en activos reales.
Dos horas después se registró una segunda transacción en la que se acuñaron 5.900 BLC.
Esa oleada de oferta sin respaldo fue lo que hizo que BLC se desviara de su objetivo en tiempo real. El mecanismo que supuestamente debía fijar el par era el mismo que el atacante utilizó para romperlo.
La auditoría de CertiK no detectó el fallo
Anteriormente, 42DAO había utilizado la auditoría CertiK de sutracde emisión de BLC como prueba de su seguridad. Sin embargo, esto resultó inútil en este caso, ya que, si bien la auditoría era legítima, las auditorías estándar detracinteligentes buscan errores de control de acceso, reentrada, desbordamiento y fallos de codificación.
Por lo general, consideran que las entradas de los oráculos son fiables, en lugar de verlas como un modelo de una fuente de precios manipulada, lo cual representa una amenaza dentro de su alcance.
A pesar de que OWASP incluyó la manipulación de oráculos en su lista de los 10 principalestracde contratos inteligentes de 2026, las medidas que podrían haber evitado el ataque quedan fuera del alcance típico de una auditoría.
El sistema de 42DAO no tenía ninguna de las siguientes características:
- Una fuente de precios promedio ponderada en el tiempo
- Una comprobación de límites que podría rechazar precios que se desvíen mucho del mercado
- Un retraso en la liquidación similar al del módulo de seguridad de Oracle de MakerDAO, que dura una hora.
El tercer protocolo de BNB Chain que queda inactivo tras un ataque
En los últimos dos meses, eldent del miércoles se convirtió en el tercerdent de seguridad importante DeFi en BNB Chain. También es el tercerdent en el que el equipo afectado por la vulnerabilidad guardó silencio.
A finales de mayo, se robaron aproximadamente 7,3 millones de dólares de los depósitos de liquidez heredados de DxScale. A principios de junio, TesseraDAO perdió alrededor de 2,5 millones de dólares cuando un atacante robó 99 millones de TSR, aprovechando una vulnerabilidad en la clave de administrador.
Esta oleada de ataques coincide con una tendencia reciente entre los atacantes en 2026. Los analistas observaron que los atacantes ya no buscan explotar errores de código, sino que se centran en los oráculos y las capas de gobernanza que rodean al código.
Estos ataques también se producen en un momento en que el mercado se ha vuelto receloso de las stablecoins algorítmicas, especialmente después del colapso del UST de Terra en 2022 y, más recientemente, desvinculaciones del USDe de Ethena y del MIM de Abracadabra.
Si estás leyendo esto, ya llevas ventaja. Mantente al día con nuestro boletín informativo.
Preguntas frecuentes
¿Qué provocó que Balance Coin perdiera su paridad con el dólar?
Un atacante manipuló el oráculo de precios de BTCB de Balance Protocol, introduciendo un precio bitcoin anormalmente bajo que hizo que las bóvedas con sobrecolateralización parecieran insolventes y permitió al atacante liquidarlas y apoderarse de la garantía.
¿Cuánto se llevó el atacante?
Las empresas de seguridad estimaron las pérdidas en aproximadamente 912.000 dólares (SlowMist) a 915.000 dólares (PeckShield), procedentes de 42DAO, la entidad de gobernanza detrás de Balance Protocol.
¿Por qué la auditoría CertiK del proyecto no impidió el ataque?
Las auditorías estándar detracinteligentes revisan el código en la cadena de bloques en busca de fallos como la reentrada y los errores de control de acceso, y tratan las entradas del oráculo como confiables, por lo que una auditoría CertiK del contrato detracno habría detectado la falta de validación de precios y el retraso en la liquidación que hicieron posible el ataque.
Aviso legal. La información proporcionada no constituye asesoramiento comercial. Cryptopolitanconsultar no se responsabiliza de las inversiones realizadas con base en la información proporcionada en esta página. Recomendamostronencarecidamente realizar una investigación independientedent un profesional cualificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en redacción de blogs y reportajes sobre eventos en el ámbito de las criptomonedas. En Cryptopolitan, colabora en la sección de noticias, informando y analizando las últimas novedades en DeFi, RWA, regulación de criptomonedas, IA y tecnologías de vanguardia. Se graduó en Administración de Empresas por la Universidad de Arcadia.
