Алгоритмічний стейблкоїн Balance Coin (BLC) повністю втратив прив'язку до долара, обвалившись на 99,8% до мізерних $0,0013. Крах був спричинений секундною відмовою оракула, яка відкрила шлях для цілеспрямованої хакерської атаки на протокол 42DAO. Атакуючий знайшов вразливість у системі безпеки та вивів приблизно $912 000 з проєкту.
Аналітики PeckShield та SlowMist відтворили інцидент секунда за секундою. Як виявилося, проєкт використовував популярну архітектуру DeFi, але не включив її базові захисні механізми.
Як це сталося: ідеальний ланцюг невдач
Вся атака була завершена в межах однієї транзакції. Хакер виконав швидку послідовність дій, що залучала два вразливі смарт-контракти:
- Контракт Spotter, відповідальний за ціноутворення: модуль прийняв аномально низьку та неправильну ціну Bitcoin від оракула BTCB. У коді контракту просто бракувало захисних фільтрів, включаючи перевірки на різкі відхилення ціни або ліміти максимального падіння. Система довірилася хибним даним і одразу їх зафіксувала.
- Контракт Dog, відповідальний за ліквідації: цей модуль одразу підхопив занижену ціну Bitcoin. Оскільки не було затримки ліквідації, система не мала часу перевірити дані.
Поєднавши ці слабкі місця в один сценарій, атакуючий миттєво спровокував примусову ліквідацію кількох великих Bitcoin-сховищ за значно заниженими цінами. Залог жертв було переведено хакеру, який одразу зафіксував прибуток через арбітраж.
Щоб вивести кошти, атакуючий скинув мільйони новостворених токенів BLC на PancakeSwap, повністю знищивши наявну ліквідність. Ціна токена впала практично до нуля, а проєкт 42DAO залишився з величезною сумою безнадійних боргів.
Команда протоколу ще не представила план відновлення або компенсації. Інцидент тепер приєднався до зростаючого списку DeFi-експлойтів, демонструючи ризики копіювання фінансової архітектури іншого проєкту без збереження оригінальних механізмів захисту оракула.
