Balance Coin se desploma desde su paridad con el dólar tras una vulnerabilidad que sustrae 1 millón de dólares de la bóveda Bitcoin

Balance Coin cayó aproximadamente un 99% el miércoles, después de que un atacante distorsionara su oráculo de precios BTCB y se llevara 912.000 dólares de la tesorería del proyecto, perdiendo casi todo su valor. 

Balance Coin (BLC) es una criptomoneda estable algorítmica vinculada al dólar; está diseñada para cotizar a 1 dólar y nada más. El martes cotizaba a alrededor de 0,9954 dólares, pero a primera hora del miércoles había caído a una fracción de centavo, cotizando a alrededor de 0,0014 dólares, mientras que otros tracla situaban más cerca de los 0,0025 dólares. 

En cualquier caso, a última hora del miércoles, Balance Coin había perdido casi la totalidad de su valor nominal de 3,5 millones de dólares. 

Un precio engañoso Bitcoin que convirtió a las cajas fuertes en objetivos de liquidación

Balance Protocol utiliza un modelo de creación de mercado. Permite a los usuarios bloquear garantías, generalmente Bitcoin Cash (BCH), así como Bitcoin vinculado a Binance(BTCB) y USDT, y generar BLC a partir de ellas. Una vez que el valor de dicha garantía cae muy por debajo de la deuda, el protocolo liquida instantáneamente la posición y vende el respaldo.

SlowMist, una empresa de seguridad, tracel robo hasta el Oráculo Mediano del protocolo. El Oráculo Mediano es la fuente de precios que informa al sistema sobre el valor de BTCB. 

El atacante introdujo un precio inusualmente bajo en el feed mediante la función 'poke' deltracdel Spotter y procedió a activar liquidaciones a través del módulo Dog. En palabras de SlowMist, el Spotter no disponía de un feed de precios promedio ponderado en el tiempo, una comprobación de límites que pudiera rechazar precios que se desviaran mucho del mercado y un retraso en la liquidación 

Sin esas medidas, las cajas fuertes se volvieron repentinamente insolventes, y el ladrón las liquidó al precio falso, llevándose la garantía en una sola transacción.

Los tokens acuñados se canalizan directamente a través de PancakeSwap

El robo continuó más allá de las bóvedas. El atacante acuñó aproximadamente 4,5 millones de BLC desde una dirección nula mediante un contrato GemJoin corrupto ytracesos tokens acakeSwap V2, intercambiándolos por BSC-USD y BTCB; esto convirtió las monedas recién creadas en activos reales. 

Dos horas después se registró una segunda transacción en la que se acuñaron 5.900 BLC. 

Esa oleada de oferta sin respaldo fue lo que hizo que BLC se desviara de su objetivo en tiempo real. El mecanismo que supuestamente debía fijar el par era el mismo que el atacante utilizó para romperlo. 

La auditoría de CertiK no detectó el fallo 

Anteriormente, 42DAO había utilizado la auditoría CertiK de sutracde emisión de BLC como prueba de su seguridad. Sin embargo, esto resultó inútil en este caso, ya que, si bien la auditoría era legítima, las auditorías estándar detracinteligentes buscan errores de control de acceso, reentrada, desbordamiento y fallos de codificación. 

Por lo general, consideran que las entradas de los oráculos son fiables, en lugar de verlas como un modelo de una fuente de precios manipulada, lo cual representa una amenaza dentro de su alcance.

A pesar de que OWASP incluyó la manipulación de oráculos en su lista de los 10 principalestracde contratos inteligentes de 2026, las medidas que podrían haber evitado el ataque quedan fuera del alcance típico de una auditoría. 

El sistema de 42DAO no tenía ninguna de las siguientes características: 

• Una fuente de precios promedio ponderada en el tiempo 
• Una comprobación de límites que podría rechazar precios que se desvíen mucho del mercado
• Un retraso en la liquidación similar al del módulo de seguridad de Oracle de MakerDAO, que dura una hora. 

El tercer protocolo de BNB Chain que queda inactivo tras un ataque

En los últimos dos meses, eldent del miércoles se convirtió en el tercerdent de seguridad importante DeFi en BNB Chain. También es el tercerdent en el que el equipo afectado por la vulnerabilidad guardó silencio. 

A finales de mayo, se robaron aproximadamente 7,3 millones de dólares de los depósitos de liquidez heredados de DxScale. A principios de junio, TesseraDAO perdió alrededor de 2,5 millones de dólares cuando un atacante robó 99 millones de TSR, aprovechando una vulnerabilidad en la clave de administrador. 

Esta oleada de ataques coincide con una tendencia reciente entre los atacantes en 2026. Los analistas observaron que los atacantes ya no buscan explotar errores de código, sino que se centran en los oráculos y las capas de gobernanza que rodean al código. 

Estos ataques también se producen en un momento en que el mercado se ha vuelto receloso de las stablecoins algorítmicas, especialmente después del colapso del UST de Terra en 2022 y, más recientemente, desvinculaciones del USDe de Ethena y del MIM de Abracadabra.

Las mentes más brillantes del mundo de las criptomonedas ya leen nuestro boletín. ¿Te apuntas? ¡ Únete!