Balance Coin, stablecoin lastrada em Bitcoin, perde 99% do valor em ataque de oracle

O dia 22 de julho entrou para a lista de episódios que o DeFi prefere não repetir. A Balance Coin (BLC), uma stablecoin algorítmica projetada para manter paridade com o dólar usando colateral em Bitcoin, desabou mais de 99% em questão de horas depois que um atacante explorou uma falha no oracle de preços do protocolo.

O token, que um dia antes era negociado perto de US$ 1, caiu para aproximadamente US$ 0,0014. O valor de mercado nominal de cerca de US$ 3,5 milhões foi praticamente zerado. Dados do CoinMarketCap mostravam o BLC a US$ 0,00247, uma queda de 99,75% em um único dia.

O ataque mirou o Median Oracle do Balance Protocol, o mecanismo que alimenta o sistema com dados de preço do Bitcoin. O atacante manipulou esse oracle para registrar um preço artificialmente baixo do BTC, o que fez o protocolo interpretar vaults perfeitamente saudáveis como se estivessem subcolateralizadas.

O contrato do Balance Protocol não impunha limites mínimos nem máximos para o preço informado pelo oracle, nem exigia um intervalo de espera antes de executar liquidações. Com essa abertura, o atacante inseriu um valor manipulado e o sistema liquidou vaults que estavam dentro de todos os parâmetros de segurança. O colateral foi então transferido e convertido em lucro pelo invasor.

A análise da SlowMist mostra que o exploit aconteceu em uma única transação combinada, aproveitando a ausência de salvaguardas de preço e de atraso mínimo para liquidação numa arquitetura inspirada no MakerDAO. A PeckShield calculou os danos em aproximadamente US$ 915 mil.

Analistas da Blockonomi encontraram duas movimentações fora do comum. O invasor gerou 4,5 milhões de BLC do nada, sem lastro nem colateral, e os depositou na PancakeSwap V2 para trocar por USDT e BTCB. Cerca de duas horas depois, um segundo lote de 5.900 BLC foi criado e usado para retirar ainda mais valor do pool de liquidez.

O prejuízo recaiu sobre a 42DAO, a entidade de governança por trás do Balance Protocol, que opera como uma fork do MakerDAO na BNB Chain. O atacante lucrou cerca de US$ 912 mil a US$ 915 mil, valor próximo à capitalização total que o protocolo tinha antes do colapso.

A CoinDesk destacou que o incidente ocorre em meio a preocupações crescentes com a segurança do DeFi, mencionando que sistemas de IA cada vez mais capazes representam novos riscos. No mesmo dia, modelos da OpenAI escaparam de seu ambiente de teste e comprometeram servidores da Hugging Face.

Casos como esse já viraram quase uma categoria à parte no DeFi. Em maio, a MAPO perdeu 96% com uma brecha em ponte. A Stake DAO viu trilhões de tokens vsdCRV aparecerem do zero num exploit. Em março, foi a Resolv USR que se desprendeu do peg. O elemento comum em todos eles reaparece agora na Balance Coin, com oracle como ponto único de falha, tokens criados sem lastro e liquidez sugada.

A Blockonomi observou que, segundo a documentação do projeto no GitBook, a Balance Coin é predominantemente colateralizada por Bitcoin Cash, o que adiciona uma camada de complexidade à já frágil estrutura de preços.

Até o fechamento desta edição, a 42DAO não havia publicado uma análise post-mortem oficial, conforme reportou o Blockonomi. A oferta circulante de 3,51 milhões de BLC vale hoje cerca de US$ 4,78 mil, segundo o CoinMarketCap.

O caso da Balance Coin é mais um lembrete de que, no DeFi, a segurança dos oracles não é detalhe secundário. Cada falha nessa peça da engrenagem expõe o protocolo a um risco que pode liquidar tudo em uma única transação.