Balance Coin s'effondre de 99 % après une attaque oracle qui draine 912 000 $ de 42DAO
- Le Balance Coin a chuté d'environ 99 % le 22 juillet, suite au détournement de près de 1 million de dollars par un attaquant auprès de l'entité de gouvernance 42DAO.
- Les détenteurs de BLC se retrouvent avec des tokens valant une fraction de centime, et cela a des répercussions sur l'ensemble du marché DeFi.
- L'exploitation a profité de l'absence de mesures de sécurité de base, de contrôles de prix et de délais de liquidation, plutôt que d'une rupture sophistiquée du code.
Balance Coin a chuté d'environ 99 % mercredi, après qu'un attaquant a faussé son oracle de prix BTCB et a emporté 912 000 $ du trésor du projet, perdant presque toute sa valeur.
Balance Coin (BLC) est une stablecoin algorithmique liée au dollar ; elle est conçue pour être négociée à 1 $ et rien de plus. Elle a été négociée autour de 0,9954 $ mardi, mais tôt mercredi, elle a chuté à une fraction de cent, négociée autour de 0,0014 $, certains autres trackers la mettant plus près de 0,0025 $.
En tout cas, tard mercredi, Balance Coin avait perdu presque toute sa valeur nominale de 3.5 millions de dollars.
Un prix Bitcoin trompeur qui a fait des coffres-forts sûrs des cibles de liquidation
Balance Protocol utilise une configuration de style maker. Il permet aux utilisateurs de verrouiller du collatéral, généralement du Bitcoin Cash (BCH), ainsi que du Bitcoin adossé à Binance (BTCB) et du USDT, et de frapper du BLC contre celui-ci. Une fois que la valeur de ce collatéral chute bien en dessous de la dette, le protocole liquide instantanément la position et vend le soutien.
Le vol a été tracé à l'Oracle Médian du protocole par SlowMist, une société de sécurité. Median Oracle est le flux de prix qui informe le système de la valeur du BTCB.
L'attaquant a saisi un prix inhabituellement bas dans le flux via la fonction 'poke' sur le contrat Spotter et a ensuite déclenché des liquidations via le module Dog. Selon les mots de SlowMist, le Spotter n'avait pas de flux de prix moyen pondéré dans le temps, de vérification des limites qui pourrait rejeter les prix s'écartant considérablement du marché, et d'un délai de liquidation
Sans ces mesures, les coffres-forts sûds sont soudainement devenus insolvable, et le voleur les a liquidés au faux prix, repartant avec le collatéral en une seule transaction.
Les jetons frappés ont été acheminés directement via PancakeSwap
Le vol a continué au-delà des coffres-forts. L'attaquant a frappé ~4,5 millions de BLC à partir d'une adresse nulle via un contrat GemJoin corrompu et ces jetons vers PancakeSwap V2, les échangeant contre BSC-USD et BTCB ; cela a converti les pièces fraîchement créées en actifs réels.
Une deuxième transaction a été signalée deux heures plus tard qui a frappé 5 900 BLC.
Cette vague d'offre non adossée est ce qui a déplacé BLC de sa cible en temps réel. Alors que le mécanisme censé épingler l'ancrage était le même que celui que l'attaquant a utilisé pour le briser.
L'audit de CertiK a manqué la faute
Par le passé, 42DAO avait soutenu l'audit CertiK de son contrat de frappe BLC comme marque de sa sécurité. Cependant, cela s'est révélé futile dans ce cas car bien que l'audit soit légitime, les audits standard de contrats intelligents recherchent des erreurs de contrôle d'accès, de réentrance, de débordement et de défauts de codage.
Ils voient généralement les entrées oracle comme fiables au lieu de les voir comme modélisant un flux de prix manipulé comme une menace dans le périmètre.
Malgré la liste OWASP de la manipulation oracle dans ses 10 principaux contrats intelligents de 2026, les mesures qui auraient pu prévenir l'attaque sont en dehors de la portée typique de l'audit.
Le système de 42DAO n'avait aucune des caractéristiques suivantes :
- Un flux de prix moyen pondéré dans le temps
- Une vérification des limites qui pourrait rejeter les prix s'écartant considérablement du marché
- Un délai de liquidation similaire à celui du Module de sécurité Oracle d'une heure de MakerDAO.
Le troisième protocole BNB Chain à se taire après une attaque
Au cours des deux derniers mois, l'incident de mercredi est devenu le troisième incident majeur de sécurité DeFi sur BNB Chain. C'est aussi le troisième incident où l'équipe affectée par l'exploitation est restée silencieuse.
Fin mai, environ 7,3 millions de dollars ont été volés des casiers de liquidité hérités de DxScale. Début juin, TesseraDAO a perdu environ 2,5 millions de dollars lorsqu'un attaquant a volé 99 millions de TSR, profitant d'une compromission de clé admin.
Cette série d'attaques est cohérente avec une tendance récente parmi les attaquants en 2026. Les analystes ont noté que les attaquants ne cherchent plus à exploiter des bugs de code mais se concentrent plutôt sur les oracles et les couches de gouvernance autour du code.
Ces attaques se produisent également à un moment où le marché est devenu méfiant envers les stablecoins algorithmiques, surtout après l'effondrement de l'UST de Terra en 2022 et plus récemment le dépannages de USDe d'Ethena et de MIM d'Abracadabra.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu'est-ce qui a provoqué la perte de l'ancrage au dollar du Balance Coin ?
Un attaquant a manipulé l'oracle de prix BTCB du Balance Protocol en lui fournissant un prix du bitcoin anormalement bas, faisant apparaître les vaults surcollatéralisés comme insolvables, permettant ainsi à l'attaquant de les liquider et de saisir les garanties.
Combien l'attaquant a-t-il emporté ?
Les sociétés de sécurité ont estimé la perte entre environ 912 000 $ (SlowMist) et 915 000 $ (PeckShield), prélevés sur le 42DAO, l'entité de gouvernance derrière le Balance Protocol.
Pourquoi l'audit CertiK du projet n'a-t-il pas empêché l'attaque ?
Les audits de contrats intelligents standards examinent le code on-chain à la recherche de failles telles que les reentrances et les erreurs de contrôle d'accès, et traitent les entrées des oracles comme fiables ; ainsi, un audit CertiK du contrat de minting n'aurait pas signalé l'absence de validation du prix et le délai de liquidation qui ont rendu l'attaque possible.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
