Der algorithmische Stablecoin Balance Coin (BLC) hat seine Bindung an den Dollar vollständig verloren und ist um 99,8 % auf einen vernachlässigbaren Wert von 0,0013 $ eingebrochen. Der Absturz wurde durch einen sekundenlangen Oracle-Fehler verursacht, der einen gezielten Hackerangriff auf das 42DAO-Protokoll ermöglichte. Der Angreifer fand eine Schwachstelle im Sicherheitssystem und entzog dem Projekt etwa 912.000 $.
Analysten von PeckShield und SlowMist rekonstruierten den Vorfall Sekunde für Sekunde. Wie sich herausstellte, verwendete das Projekt eine beliebte DeFi-Architektur, versäumte es jedoch, grundlegende Sicherheitsvorkehrungen zu integrieren.
Wie es passierte: eine perfekte Kette von Fehlern
Der gesamte Angriff wurde innerhalb einer einzigen Transaktion durchgeführt. Der Hacker führte eine schnelle Sequenz aus, die zwei anfällige Smart Contracts betraf:
- Spotter-Vertrag, zuständig für die Preisgestaltung: Das Modul akzeptierte einen abnormal niedrigen und falschen Bitcoin-Preis vom BTCB-Oracle. Der Code des Vertrags enthielt einfach keine schützenden Filter, einschließlich Prüfungen auf starke Preisabweichungen oder maximale Rückgangsgrenzen. Das System vertraute den falschen Daten und zeichnete sie sofort auf.
- Dog-Vertrag, zuständig für Liquidationen: Dieses Modul übernahm sofort den untertriebenen Bitcoin-Preis. Da es keine Liquidationsverzögerung gab, hatte das System keine Zeit, die Daten zu überprüfen.
Durch die Kombination dieser Schwächen in einem einzigen Szenario löste der Angreifer sofort die Zwangsliquidation mehrerer großer Bitcoin-Vaults zu stark reduzierten Preisen aus. Die Sicherheiten der Opfer wurden auf den Hacker übertragen, der den Gewinn sofort durch Arbitrage sicherte.
Um die Erlöse abzuheben, warf der Angreifer Millionen neu generierter BLC-Token auf PancakeSwap und zerstörte damit die verfügbare Liquidität vollständig. Der Preis des Tokens fiel auf praktisch null, während das 42DAO-Projekt mit einer massiven Menge an uneinbringlichen Schulden zurückblieb.
Das Protokollteam hat noch keinen Wiederherstellungs- oder Entschädigungsplan vorgelegt. Der Vorfall reiht sich nun in die wachsende Liste von DeFi-Exploits ein und zeigt die Risiken, die mit dem Kopieren der Finanzarchitektur eines anderen Projekts ohne Beibehaltung der ursprünglichen Oracle-Schutzmechanismen verbunden sind.
