Алгоритмический стейблкоин Balance Coin (BLC) полностью потерял привязку к доллару, обвалившись на 99,8% до ничтожных $0,0013. Обвал был вызван секундным сбоем оракула, который открыл возможность для целенаправленной хакерской атаки на протокол 42DAO. Злоумышленник нашел уязвимость в системе безопасности и вывел из проекта примерно $912 000.
Аналитики PeckShield и SlowMist восстановили хронологию инцидента секунда за секундой. Как выяснилось, проект использовал популярную архитектуру DeFi, но не включил в нее базовые механизмы защиты.
Как это произошло: идеальная цепочка сбоев
Вся атака была выполнена в рамках одной транзакции. Хакер осуществил быструю последовательность действий, задействовав два уязвимых смарт-контракта:
- Контракт Spotter, отвечающий за ценообразование: модуль принял аномально низкую и неверную цену биткоина от оракула BTCB. В коде контракта просто отсутствовали защитные фильтры, включая проверки на резкие отклонения цены или максимальные лимиты падения. Система доверилась ложным данным и сразу их записала.
- Контракт Dog, отвечающий за ликвидации: этот модуль немедленно подхватил заниженную цену биткоина. Поскольку задержки ликвидации не было, система не успела проверить данные.
Объединив эти слабости в единый сценарий, злоумышленник мгновенно инициировал принудительную ликвидацию нескольких крупных биткоин-хранилищ по сильно заниженным ценам. Залог жертв был переведен хакеру, который сразу же зафиксировал прибыль через арбитраж.
Чтобы вывести средства, злоумышленник сбросил миллионы вновь сгенерированных токенов BLC на PancakeSwap, полностью уничтожив доступную ликвидность. Цена токена упала практически до нуля, а проект 42DAO остался с огромной суммой безнадежных долгов.
Команда протокола еще не представила план восстановления или компенсации. Инцидент пополнил растущий список взломов DeFi, демонстрируя риски копирования финансовой архитектуры другого проекта без сохранения оригинальных механизмов защиты оракула.
