Balance Protocol a subi un exploit le 22 juillet 2026, lorsque un attaquant a vidé 912 000 dollars en BTCB depuis des coffres de 42DAO sur la BNB Chain. L’attaque utilisait une alimentation de prix de Median Oracle manipulée pour déclencher de fausses liquidations ; les sociétés de sécurité Slowmist et Peckshield l’ont confirmé. Balance Coin (BLC), la stablecoin du protocole, a chuté de 99,92 % depuis près de 1 dollar pour tomber à environ 0,000795 dollar selon Coinmarketcap. L’exploit a ciblé un système de dette surcollatéralisée modélisé sur MakerDAO : les utilisateurs verrouillent du BTCB et émettent du BLC contre celui-ci. Aucune clé privée n’a été compromise ; le protocole a accepté une entrée de prix fausse sans vérification, permettant à l’attaquant de récupérer le collatéral et de le vendre sur Pancakeswap pour réaliser un profit.
Attacker Exploited Median Oracle Price Feed to Drain Vaults
Les sociétés de sécurité Peckshield et Slowmist ont confirmé l’exploit dans les heures qui ont suivi l’attaque. Peckshield a d’abord estimé la perte à près de 915 000 dollars. Slowmist l’a ensuite affiné à environ 912 000 dollars et a publié un détail technique.
L’attaquant a utilisé la fonction poke du contrat Spotter pour injecter un prix artificiellement bas du BTCB dans le contrat de comptabilisation du système. L’oracle a accepté le nombre sans le vérifier par rapport aux prix du marché. Des coffres sains sont soudain apparus comme insolvables. Le module Dog, qui gère les liquidations, a saisi le collatéral en une seule transaction, puis l’attaquant l’a vendu sur Pancakeswap pour réaliser un profit.
Slowmist a qualifié l’attaque de « combo » en une seule transaction exploitant l’absence de protections contre les prix et l’absence de délai de liquidation dans un système de style Maker. Les enregistrements de la blockchain indiquent une transaction hash unique comme principale voie d’exploitation, ainsi qu’une adresse de portefeuille de l’attaquant, un contrat victime, le contrat Spotter et le contrat Dog utilisé pour les liquidations. Les enquêteurs ont retracé chaque étape, de l’entrée de prix fausse jusqu’à la vente finale sur Pancakeswap.
Protocol Design Lacked Standard Price Safeguards
Plusieurs garde-fous standard auraient été absents de la conception :
- Aucun contrôle de l’écart de prix par rapport aux marchés externes
- Aucune limite de drawdown maximal sur l’alimentation de l’oracle
- Aucune barrière de prix pour détecter des lectures manifestement fausses
- Aucun délai entre la mise à jour d’un prix et une liquidation
Balance Coin s’échangeait près de 0,995 à 1,00 dollar avant l’attaque. En quelques heures, il est tombé à environ 0,0014 dollar, puis a encore glissé entre 0,0008 et 0,0013 dollar sur les principaux indicateurs. Coinmarketcap a ensuite affiché un prix proche d’un plus bas intrajournalier de 0,000795 dollar, soit une baisse de 99,92 % sur 24 heures.
Balance Coin Market Capitalization Dropped to $2,800
Avant l’attaque, l’offre en circulation de Balance Coin se situait près de 3,5 millions de tokens, ce qui lui donnait une valeur nominale proche de 3,5 millions de dollars. Après l’effondrement, sa capitalisation boursière est tombée à environ 2 800 dollars. Le volume de trading a fortement augmenté, atteignant environ 103 000 dollars sur 24 heures, pendant que les détenteurs quittaient le marché et que des traders d’arbitrage fouillaient les restes.
Le plus haut historique du token était de 1,42 dollar en mai 2025. Le depeg du 22 juillet est devenu son nouveau plus bas historique. 42DAO n’a pas annoncé de plan de reprise ni de compensation pour les utilisateurs concernés. Le BTCB drainé reste sous le contrôle de l’attaquant.
Certains trackers ont enregistré des milliers de transactions dans les heures qui ont suivi l’exploit, dont beaucoup d’achats ; un schéma courant lorsque des spéculateurs se ruent sur un token dépeggé en espérant un rebond ou une opération d’arbitrage rapide. L’activité n’a pas rétabli le peg. Le rang de Balance Coin sur les principaux agrégateurs est tombé profondément dans les dernières milliers, et la liquidité, déjà faible avant l’attaque, a largement disparu. Les statistiques de Coinmarketcap indiquent que l’offre en circulation de BLC est auto-déclarée et que la pièce compte plus de 18 000 détenteurs.
FAQ
Que s’est-il passé pour Balance Coin le 22 juillet 2026 ?
Un attaquant a vidé 912 000 dollars en BTCB depuis des coffres de 42DAO sur la BNB Chain en utilisant une alimentation de prix de Median Oracle manipulée. Balance Coin a chuté de 99,92 % depuis près de 1 dollar jusqu’à environ 0,000795 dollar.
Comment l’attaquant a-t-il exploité Balance Protocol ?
L’attaquant a utilisé la fonction poke du contrat Spotter pour injecter un prix artificiellement bas du BTCB dans le contrat de comptabilisation du système. L’oracle a accepté le faux nombre sans vérification, déclenchant des liquidations dont l’attaquant a profité en vendant le collatéral saisi sur Pancakeswap.
Quels garde-fous manquaient dans la conception de Balance Protocol ?
Le protocole ne disposait pas de contrôles d’écart de prix par rapport aux marchés externes, de limites de drawdown maximal sur l’alimentation de l’oracle, d’un plancher de prix pour détecter les lectures fausses, ni d’un délai entre les mises à jour de prix et les liquidations.
