Un autre Stablecoin mord la poussière alors que BLC passe de 1 $ à presque sans valeur

Les sociétés de sécurité Peckshield et Slowmist ont confirmé l'exploit quelques heures après l'attaque. Peckshield a d'abord estimé la perte à près de 915 000 $. Slowmist a ensuite affiné ce chiffre à environ 912 000 $ et a publié une description technique de la manière dont l'attaquant y est parvenu.

Balance Coin (BLC) s'échangeait entre 0,995 $ et 1,00 $ avant l'attaque. En quelques heures, il est tombé à environ 0,0014 $, puis a encore glissé entre 0,0008 $ et 0,0013 $ sur les principaux trackers. Coinmarketcap a ensuite montré un prix proche d'un plus bas intrajournalier de 0,000795 $, soit une baisse de 99,92 % sur 24 heures.

Comment l'exploit a fonctionné

Balance Protocol gère un système de dette garantie sur le modèle de MakerDAO, désormais connu sous le nom de Les utilisateurs verrouillent BTCB, la version liée à Binance du bitcoin, dans des coffres-forts et créent du BLC contre celui-ci. Un oracle des prix suit la valeur de cette garantie. Lorsque le rapport entre la dette et la garantie devient trop bas, le protocole liquide le coffre-fort.

L'attaquant a utilisé la fonction poke du contrat Spotter pour insérer un prix BTCB artificiellement bas dans le contrat comptable du système. L'oracle a accepté le chiffre sans le comparer aux prix du marché. Les coffres-forts sains semblaient soudain insolvables. Le module Dog, qui gère les liquidations, a saisi la garantie en une seule transaction et l'attaquant l'a vendue sur Pancakeswap pour réaliser un profit.

Slowmist l'a appelé une combinaison de transactions uniques qui exploitait l'absence de protection des prix et un délai de liquidation manquant dans un système de style Maker. Aucune clé privée n'a été compromise. Le protocole a fait confiance à un numéro qu’il aurait dû remettre en question.

Les enregistrements de la blockchain indiquent un hachage de transaction unique comme principal chemin d'exploitation, ainsi qu'une adresse de portefeuille d'attaquant, un contrat de victime, le contrat Spotter et le contrat Dog utilisé pour les liquidations. Les enquêteurs ont retracé chaque étape depuis l'entrée du faux prix jusqu'à la vente finale sur Pancakeswap, donnant un compte rendu complet de la façon dont un appel de fonction d'apparence légitime s'est transformé en un salaire de 912 000 $.

Plusieurs mesures de protection standard auraient été absentes de la conception :

• Aucun écart de prix n’est vérifié par rapport aux marchés extérieurs.
• Aucune limite maximale de prélèvement sur le flux Oracle.
• Pas de prix plancher pour détecter des lectures manifestement fausses.
• Aucun délai entre une mise à jour de prix et une liquidation.

Retombées du marché

Avant l'attaque, l'offre en circulation de Balance Coin s'élevait à près de 3,5 millions de jetons, ce qui lui confère une valeur nominale proche de 3,5 millions de dollars. Après l'effondrement, sa capitalisation boursière est tombée à environ 2 800 dollars. Le volume des transactions a atteint environ 103 000 $ en 24 heures alors que les détenteurs se retiraient et que les traders d'arbitrage sélectionnaient les restes.

Le plus haut historique du jeton était de 1,42 $ en mai 2025. Le dépeg du 22 juillet est devenu son nouveau plus bas historique. 42DAO n'a pas annoncé de plan de récupération ni de compensation pour les utilisateurs concernés. Le BTCB drainé reste sous le contrôle de l'attaquant.

Certains trackers ont enregistré des milliers de transactions dans les heures qui ont suivi l'exploit, dont beaucoup achètent, un schéma courant lorsque les spéculateurs recherchent un jeton désindexé dans l'espoir d'un rebond ou d'un arbitrage rapide. L'activité n'a pas restauré le rattachement.

Le classement de Balance Coin parmi les principaux agrégateurs a chuté profondément dans les milliers inférieurs, et la liquidité qui était déjà mince avant l'attaque a largement disparu. Les statistiques de Coinmarketcap indiquent que l'offre en circulation de BLC est « autodéclarée » et que la pièce compte plus de 18 000 détenteurs.

Fait partie d'un modèle plus long

Balance Coin fait désormais partie d’une longue liste de pièces stables qui n’ont pas réussi à maintenir leur ancrage. TerraUSD a perdu sa valeur en dollars en mai 2022 lors d'un effondrement qui a effacé des dizaines de milliards de dollars et entraîné son jeton sœur LUNA à près de zéro. L'USDC de Circle s'est brièvement désindexé en mars 2023 après la faillite de la Silicon Valley Bank, bien qu'il se soit redressé une fois que les réserves ont été confirmées sûres. Des projets plus petits comme Iron Finance, Beanstalk et l'aUSD d'Acala ont subi des effondrements similaires dus à des exploits au cours des années précédentes.

La manipulation d'Oracle est une cause récurrente. Les attaquants donnent à un protocole un faux prix, le protocole réagit comme prévu et la valeur est transférée à l'attaquant avant que quiconque puisse l'arrêter. Balance Protocol a copié l'architecture de systèmes plus grands et plus établis comme MakerDAO, mais a laissé de côté les garde-corps ajoutés par ces systèmes après des années de quasi-accidents.

Pourquoi c'est important

Le marché de Balance Coin était petit à côté des principales pièces stables comme l'USDT et l'USDC. Pourtant, chaque exploit comme celui-ci s’ajoute à un modèle que les régulateurs et les utilisateurs surveillent de près. En 2026, la surveillance des pièces stables aux États-Unis fonctionne dans le cadre de la loi GENIUS, qui fait pression sur les émetteurs pour qu'ils prouvent que leurs réserves et que leurs systèmes peuvent résister aux contraintes.

Pour l’instant, Balance Coin se négocie près de zéro. La garantie Bitcoin enveloppée basée sur BNB qui la soutenait autrefois se trouve dans un portefeuille hors du contrôle de 42DAO, et le protocole n'a pas encore indiqué ce qui se passera ensuite.