После атаки оракулов на Balance Coin, в результате которой из 42DAO было выведено 912 000 долларов, Balance Coin обвалился на 99%

В среду курс Balance Coin упал примерно на 99% после того, как злоумышленник исказил данные о цене BTCB и похитил 912 000 долларов из казначейства проекта, потеряв почти всю его стоимость. 

Balance Coin (BLC) — это алгоритмический стейблкоин, привязанный к доллару; он создан для торговли по цене не выше 1 доллара. Во вторник его цена составляла около 0,9954 доллара, но к началу среды она упала до доли цента, торгуясь примерно по 0,0014 доллара, а некоторые другие tracоценивают её ближе к 0,0025 доллара. 

В любом случае, к вечеру среды Balance Coin потерял почти всю свою номинальную стоимость в 3,5 миллиона долларов. 

Обманчивая цена Bitcoin , из-за которой сейфы стали объектом ликвидации

Протокол Balance использует схему, аналогичную схеме «мейкера». Он позволяет пользователям блокировать залоговое обеспечение, обычно Bitcoin Cash (BCH), а также привязанные к BinanceBitcoin (BTCB) и USDT, и создавать BLC под его залог. Как только стоимость залогового обеспечения значительно падает ниже суммы долга, протокол мгновенно ликвидирует позицию и продает обеспеченное имущество.

Кража была tracкомпанией SlowMist, специализирующейся на безопасности, до Median Oracle — источника ценовых данных, который сообщает системе о стоимости BTCB. 

Злоумышленник ввел в поток необычно низкую цену через функцию «poke» вtracSpotter и затем инициировал ликвидации через модуль Dog. По словам SlowMist, у Spotter не было потока средневзвешенных цен, проверки границ, которая могла бы отклонять цены, сильно отличающиеся от рыночных, и задержки ликвидации 

Без этих мер сейфы внезапно оказывались неплатежеспособными, и вор продавал их по фиктивной цене, забрав с собой все залоговое имущество за одну сделку.

Выпущенные токены перенаправляются напрямую через PancakeSwap

Кража продолжилась и за пределами хранилищ. Злоумышленник создал около 4,5 миллионов BLC с нулевого адреса через поврежденныйtracGemJoin и вывел эти токены наcakeSwap V2, обменяв их на BSC-USD и BTCB; таким образом, вновь созданные монеты были конвертированы в реальные активы. 

Спустя два часа поступило сообщение о второй сделке, в рамках которой было выпущено 5900 BLC. 

Именно эта волна необеспеченных поставок в реальном времени сбила BLC с намеченной позиции. Механизм, призванный зафиксировать цену, был тем же самым, который злоумышленник использовал для её обрушения. 

В ходе аудита CertiK ошибка была упущена 

Ранее компания 42DAO использовала аудит CertiK своего контракта наtracBLC в качестве подтверждения своей безопасности. Однако в данном случае это оказалось бесполезным, поскольку, хотя аудит и был законным, стандартные аудиты смарт-tracвыявляют ошибки контроля доступа, повторный вход, переполнение и ошибки в коде. 

Обычно они воспринимают входные данные от оракулов как достоверные, а не как угрозу, связанную с моделированием манипулированных ценовых потоков.

Несмотря на то, что OWASP включила манипуляции с Oracle в свойtrac10 самых распространенных ошибок в Smart Contracts на 2026 год, меры, которые могли бы предотвратить атаку, выходят за рамки стандартного аудита. 

В системе 42DAO отсутствовало следующее: 

• Поток средневзвешенных цен за определенный период времени 
• Контрольная проверка, которая может отклонить цены, сильно отклоняющиеся от рыночных
• Задержка при ликвидации, аналогичная часовой задержке в модуле безопасности Oracle от MakerDAO. 

Третий протокол BNB Chain, который перестал работать после атаки

За последние два месяцаdent , произошедший в среду, стал третьим крупнымdent безопасности DeFi на платформе BNB Chain. Это также третийdent в котором команда, пострадавшая от уязвимости, хранила молчание. 

В конце мая из устаревших ликвидных хранилища DxScale было украдено около 7,3 миллиона долларов. В начале июня TesseraDAO потеряла примерно 2,5 миллиона долларов, когда злоумышленник украл 99 миллионов TSR, воспользовавшись компрометацией административного ключа. 

Эта волна атак соответствует недавней тенденции среди злоумышленников в 2026 году. Аналитики отметили, что злоумышленники больше не стремятся использовать уязвимости в коде, а сосредоточены на оракулах и уровнях управления вокруг кода. 

Эти атаки также происходят в то время, когда рынок стал с опаской относиться к алгоритмическим стейблкоинам, особенно после краха UST от Terra в 2022 году и, совсем недавно, после депривации USDe от Ethena и MIM от Abracadabra.