Le stablecoin algorithmique Balance Coin (BLC) a complètement perdu son ancrage au dollar, s'effondrant de 99,8 % pour atteindre un niveau négligeable de 0,0013 $. L'effondrement a été causé par une défaillance de l'oracle de quelques secondes qui a ouvert la porte à une attaque ciblée de pirates informatiques sur le protocole 42DAO. L'attaquant a trouvé une vulnérabilité dans le système de sécurité et a drainé environ 912 000 $ du projet.
Les analystes de PeckShield et SlowMist ont reconstitué l'incident seconde par seconde. Il s'est avéré que le projet utilisait une architecture DeFi populaire mais n'avait pas inclus ses mesures de sécurité de base.
Comment cela s'est produit : une chaîne parfaite de défaillances
L'ensemble de l'attaque a été réalisé en une seule transaction. Le pirate a exécuté une séquence rapide impliquant deux contrats intelligents vulnérables :
- Contrat Spotter, responsable de la tarification : le module a accepté un prix du Bitcoin anormalement bas et incorrect provenant de l'oracle BTCB. Le code du contrat manquait simplement de filtres de protection, y compris des vérifications des écarts de prix importants ou des limites maximales de baisse. Le système a fait confiance aux fausses données et les a immédiatement enregistrées.
- Contrat Dog, responsable des liquidations : ce module a immédiatement repris le prix du Bitcoin sous-évalué. Comme il n'y avait pas de délai de liquidation, le système n'a pas eu le temps de vérifier les données.
En combinant ces faiblesses dans un seul scénario, l'attaquant a instantanément déclenché la liquidation forcée de plusieurs grands coffres de Bitcoin à des prix fortement réduits. La garantie des victimes a été transférée au pirate, qui a immédiatement verrouillé le profit grâce à l'arbitrage.
Pour retirer les bénéfices, l'attaquant a déversé des millions de jetons BLC nouvellement générés sur PancakeSwap, détruisant complètement la liquidité disponible. Le prix du jeton est tombé à presque zéro, tandis que le projet 42DAO s'est retrouvé avec une énorme quantité de créances irrécouvrables.
L'équipe du protocole n'a pas encore présenté de plan de récupération ou de compensation. L'incident rejoint maintenant la liste croissante des exploits DeFi, démontrant les risques de copier l'architecture financière d'un autre projet sans préserver les mécanismes de protection de l'oracle d'origine.
