Un’altra stablecoin va in rovina: il BLC crolla da 1 dollaro a un valore quasi nullo

Le società di sicurezza Peckshield e Slowmist hanno confermato l’exploit poche ore dopo l’attacco. Peckshield ha inizialmente stimato la perdita a circa 915.000 dollari. Slowmist ha successivamente precisato tale cifra a circa 912.000 dollari e ha pubblicato un’analisi tecnica su come l’autore dell’attacco sia riuscito a portare a termine l’operazione.

Prima dell’attacco, Balance Coin (BLC) veniva scambiato a un prezzo compreso tra 0,995 e 1,00 dollari. Nel giro di poche ore, è sceso a circa 0,0014 dollari, per poi scendere ulteriormente fino a un valore compreso tra 0,0008 e 0,0013 dollari sui principali tracker. Coinmarketcap ha successivamente riportato un prezzo vicino al minimo intraday di 0,000795 dollari, con un calo del 99,92% nelle ultime 24 ore.

Come ha funzionato l’exploit

Il protocollo Balance gestisce un sistema di debito garantito modellato su MakerDAO, ora noto come Gli utenti bloccano BTCB, la versione di bitcoin ancorata a Binance, in vault e coniano BLC a fronte di esso. Un oracolo dei prezzi monitora il valore di tale garanzia. Quando il rapporto tra debito e garanzia scende troppo in basso, il protocollo liquida il vault. L’autore dell’attacco ha utilizzato la funzione “poke” del contratto Spotter per inserire un prezzo del BTCB artificialmente basso nel contratto contabile del sistema. L’oracolo ha accettato il valore senza verificarlo rispetto ai prezzi di mercato. I vault in buona salute sono apparsi improvvisamente insolventi. Il modulo Dog, che gestisce le liquidazioni, ha sequestrato la garanzia in un’unica transazione e l’autore dell’attacco l’ha venduta su Pancakeswap realizzando un profitto.

Slowmist l’ha definita una “combo a transazione singola” che ha sfruttato la mancanza di protezione dei prezzi e l’assenza di un ritardo di liquidazione in un sistema in stile Maker. Nessuna chiave privata è stata compromessa. Il protocollo si è fidato di un valore che avrebbe dovuto mettere in discussione.

I registri della blockchain indicano l’hash di una singola transazione come percorso di exploit principale, insieme all’indirizzo del wallet dell’autore dell’attacco, al contratto della vittima, al contratto Spotter e al contratto Dog utilizzato per le liquidazioni. Gli investigatori hanno ricostruito ogni fase, dall’inserimento del prezzo errato alla vendita finale su Pancakeswap, fornendo un resoconto completo di come una chiamata di funzione apparentemente legittima si sia trasformata in un guadagno di 912.000 dollari. Secondo quanto riferito, nella progettazione mancavano diverse misure di sicurezza standard:

• Nessun controllo di deviazione dei prezzi rispetto ai mercati esterni.
• Nessun limite massimo di drawdown sul feed dell’oracolo.
• Nessun prezzo minimo per intercettare letture palesemente false.
• Nessun ritardo tra l’aggiornamento del prezzo e la liquidazione.

Ripercussioni sul mercato

Prima dell’attacco, l’offerta circolante di Balance Coin si attestava a circa 3,5 milioni di token, per un valore nominale vicino ai 3,5 milioni di dollari. Dopo il crollo, la sua capitalizzazione di mercato è scesa a circa 2.800 dollari. Il volume degli scambi ha raggiunto un picco di circa 103.000 dollari in 24 ore, mentre i possessori uscivano dal mercato e gli arbitraggisti raccoglievano ciò che restava.

Il massimo storico del token era stato di 1,42 dollari nel maggio 2025. Il depeg del 22 luglio è diventato il suo nuovo minimo storico. 42DAO non ha annunciato un piano di recupero né un risarcimento per gli utenti colpiti. Il BTCB sottratto rimane sotto il controllo dell’autore dell’attacco.

Alcuni tracker hanno registrato migliaia di transazioni nelle ore successive all’attacco, molte delle quali di acquisto, un andamento comune quando gli speculatori inseguono un token slegato dalla parità sperando in un rimbalzo o in un’operazione di arbitraggio rapida. L’attività non ha ripristinato la parità.

La posizione di Balance Coin nelle principali classifiche degli aggregatori è precipitata nelle ultime migliaia, e la liquidità, già scarsa prima dell’attacco, è in gran parte scomparsa. Le statistiche di CoinMarketCap indicano che l’offerta circolante di BLC è “autodichiarata” e che la moneta conta più di 18.000 possessori.

Parte di un andamento più ampio

Balance Coin fa ora parte di una lunga lista di stablecoin che non sono riuscite a mantenere il proprio ancoraggio. TerraUSD ha perso il proprio valore in dollari nel maggio 2022 in un crollo che ha spazzato via decine di miliardi di dollari e ha trascinato il suo token gemello LUNA quasi a zero. L’USDC di Circle ha perso brevemente il proprio ancoraggio nel marzo 2023 in seguito al fallimento della Silicon Valley Bank, sebbene si sia ripreso una volta confermata la sicurezza delle riserve. Progetti più piccoli come Iron Finance, Beanstalk e l’aUSD di Acala hanno subito crolli simili causati da exploit negli anni precedenti.

La manipolazione degli oracoli è una causa ricorrente. Gli aggressori immettono un prezzo falso nel protocollo, il protocollo reagisce come previsto e il valore passa all’aggressore prima che qualcuno possa fermarlo. Balance Protocol ha copiato l’architettura di sistemi più grandi e consolidati come MakerDAO, ma ha tralasciato le misure di sicurezza che tali sistemi avevano aggiunto dopo anni di incidenti sfiorati.

Perché è importante

Il mercato di Balance Coin era modesto rispetto a quello delle principali stablecoin come USDT e USDC. Tuttavia, ogni exploit come questo contribuisce a delineare un andamento che autorità di regolamentazione e utenti stanno osservando con attenzione. Nel 2026, la vigilanza sulle stablecoin negli Stati Uniti sarà regolata dal GENIUS Act, che esercita pressione sugli emittenti affinché dimostrino che le loro riserve e i loro sistemi sono in grado di reggere sotto stress.

Per ora, Balance Coin viene scambiata a un valore prossimo allo zero. La garanzia in wrapped bitcoin basata su BNB che un tempo la sosteneva si trova in un portafoglio al di fuori del controllo di 42DAO, e il protocollo non ha ancora comunicato quali saranno i prossimi passi.