Points clés à retenir
- Balance Coin (BLC) a chuté de plus de 99 % suite à une faille de sécurité sur la chaîne BNB
- Les pirates ont créé des millions de jetons BLC non autorisés et les ont convertis en USDT et BTCB.
- L'attaque impliquait deux transactions malveillantes qui ont siphonné environ 915 000 $ de l'écosystème.
- Les analystes de la sécurité de la blockchain SlowMist et PeckShield ont identifié une vulnérabilité de l'oracle des prix Bitcoin comme vecteur d'exploitation.
- L'incident visait 42DAO, qui régit l'infrastructure du Balance Protocol.
Un stablecoin algorithmique conçu pour maintenir la parité avec le dollar américain, Balance Coin a connu un effondrement catastrophique le 22 juillet à la suite de rapports de chercheurs en sécurité blockchain faisant état d'un exploit ciblant la plateforme 42DAO sur BNB Chain.
L'actif numérique a plongé d'environ 1 $ à un plus bas historique de 0,001209 $ en quelques heures. Selon les données de CoinMarketCap au moment de la publication, Balance Coin changeait de mains à environ 0,00247 $, ce qui représente une baisse stupéfiante de 99,75 % en une seule journée.
La société de cybersécurité PeckShield a calculé le total des dommages à environ 915 000 $. La société a attribué l'incident à des vulnérabilités au sein de 42DAO, l'organisation autonome décentralisée chargée de gérer le protocole Balance.
Le chercheur en sécurité TenArmor a identifié deux transactions douteuses liées à GemJoin et 42DAO opérant sur BNB Chain. La transaction initiale a créé environ 4,5 millions de jetons BLC à partir d'une adresse nulle avant de les transférer vers PancakeSwap V2.
Suite à cela, l’auteur a échangé le BLC fraîchement créé contre de l’USDT et du Binance Bitcoin liés à Binance. Environ deux heures plus tard, une transaction de suivi a utilisé des tactiques identiques pour générer 5 900 BLC supplémentaires et drainer des fonds supplémentaires des réserves de liquidités.
Comprendre la manipulation des prix Oracle
Selon l'analyse de SlowMist, les auteurs ont exploité un oracle Binance Bitcoin manipulé qui affichait un prix artificiellement dégonflé. Cette tromperie a amené le protocole à signaler à tort les coffres-forts sécurisés garantis par Bitcoin comme vulnérables à la liquidation.
« L'attaquant a exécuté une combinaison de transactions uniques qui a tiré parti de l'absence de garanties de prix et des retards de liquidation au sein d'une architecture inspirée de Maker », a expliqué SlowMist. Le mauvais acteur a liquidé de nombreux coffres-forts BTCB et a capturé la propagation qui en a résulté.
La création de jetons non garantis a saturé les pools de liquidités d'échange décentralisés avec un inventaire excessif de BLC. Cette pression de vente écrasante a poussé le jeton bien en dessous de sa référence en dollars sans aucun mécanisme de stabilisation efficace en place.
La création de jetons non autorisés continue de tourmenter les plates-formes DeFi
Des modèles d’attaque similaires sont apparus sur plusieurs protocoles. En mai dernier, MAPO a connu une baisse de valeur de 96 % après que des acteurs malveillants ont exploité une vulnérabilité de pont pour créer des jetons non autorisés et les liquider via des plateformes de trading décentralisées.
Dans un autre incident, Stake DAO a rencontré un exploit dans lequel les auteurs généraient des milliards de jetons vsdCRV avant de les convertir en ETH. De plus, le stablecoin USR de Resolv a quitté son ancrage en mars à la suite d'un événement de frappe non autorisé comparable.
Balance Coin fonctionne comme le principal stablecoin au sein de l'écosystème Balance Protocol, qui, selon sa documentation GitBook, est principalement garanti par Bitcoin Cash.
Une analyse post-mortem officielle de 42DAO restait inédite au moment de la rédaction de ce rapport. Cointelegraph a indiqué avoir tenté de contacter 42DAO pour obtenir des commentaires officiels, bien qu'aucune déclaration n'ait été disponible.
Les preuves de la blockchain identifient deux transactions suspectes comme étant à l'origine de la faille de sécurité, avec des dommages vérifiés à environ 915 000 $ par plusieurs organismes de sécurité.