La stablecoin algorítmica Balance Coin (BLC) perdió por completo su paridad con el dólar, desplomándose un 99,8% hasta unos insignificantes $0,0013. El colapso fue causado por una falla del oráculo que duró segundos y que abrió la puerta a un ataque hacker dirigido al protocolo 42DAO. El atacante encontró una vulnerabilidad en el sistema de seguridad y drenó aproximadamente $912.000 del proyecto.
Los analistas de PeckShield y SlowMist reconstruyeron el incidente segundo a segundo. Resultó que el proyecto utilizaba una arquitectura DeFi popular pero no incluyó sus salvaguardas básicas.
Cómo sucedió: una cadena perfecta de fallos
Todo el ataque se completó en una sola transacción. El hacker ejecutó una secuencia rápida que involucraba dos contratos inteligentes vulnerables:
- Contrato Spotter, responsable de la fijación de precios: el módulo aceptó un precio de Bitcoin anormalmente bajo e incorrecto del oráculo BTCB. El código del contrato simplemente carecía de filtros protectores, incluyendo comprobaciones de desviaciones bruscas de precios o límites máximos de caída. El sistema confió en los datos falsos y los registró inmediatamente.
- Contrato Dog, responsable de las liquidaciones: este módulo recogió inmediatamente el precio subestimado de Bitcoin. Debido a que no había retraso en la liquidación, el sistema no tuvo tiempo de verificar los datos.
Al combinar estas debilidades en un solo escenario, el atacante provocó instantáneamente la liquidación forzada de varias bóvedas de Bitcoin grandes a precios muy descontados. La garantía de las víctimas se transfirió al hacker, quien inmediatamente aseguró las ganancias mediante arbitraje.
Para retirar las ganancias, el atacante vendió millones de tokens BLC recién generados en PancakeSwap, destruyendo por completo la liquidez disponible. El precio del token cayó a prácticamente cero, mientras que el proyecto 42DAO quedó con una enorme cantidad de deuda incobrable.
El equipo del protocolo aún no ha presentado un plan de recuperación o compensación. El incidente ahora se ha unido a la creciente lista de exploits DeFi, demostrando los riesgos de copiar la arquitectura financiera de otro proyecto sin preservar los mecanismos originales de protección del oráculo.
