Hacker sloopt stablecoin met 1 transactie: koers stort 99% in

Een nieuwe aanval op een DeFi protocol laat opnieuw zien hoe kwetsbaar sommige cryptoprojecten nog altijd zijn. De stablecoin Balance Coin (BLC) verloor binnen enkele uren vrijwel al zijn waarde nadat een aanvaller misbruik maakte van een fout in het prijssysteem van het protocol.

Volgens beveiligingsonderzoekers ontbraken belangrijke veiligheidscontroles, waardoor de aanval in één transactie kon worden uitgevoerd.

Hacker haalt systeem volledig onderuit

Balance Coin is een algoritmische stablecoin die is ontworpen om rond de 1 dollar te blijven handelen. Gebruikers kunnen Bitcoin (BTC) als onderpand vastzetten om de munt te creëren. Daalt de waarde van dat onderpand te ver, dan worden de zogeheten vaults automatisch geliquideerd.

Vandaag ging het echter mis. De koers van Balance Coin zakte van bijna 1 dollar naar ongeveer 0,0014 dollar. Daarmee verdween vrijwel de volledige marktwaarde van ongeveer 3,5 miljoen dollar.

Volgens blockchainbeveiliger SlowMist manipuleerde de aanvaller de oracle van het protocol. Een oracle levert externe koersgegevens aan een smart contract. In dit geval werd een kunstmatig lage prijs voor Binance Bitcoin (BTCB) doorgegeven, waarna het protocol deze zonder extra controle accepteerde.

Daardoor leek het voor het systeem alsof meerdere BTCB vaults te weinig onderpand hadden. De aanvaller kon deze direct liquideren, het vrijgekomen onderpand overnemen en vervolgens met winst verkopen.

SlowMist schrijft dat de aanval mogelijk was doordat het protocol geen prijsbescherming en geen vertraging bij liquidaties had ingebouwd.

“De aanvaller maakte in één transactie gebruik van ontbrekende beveiliging in het systeem. Daardoor konden meerdere BTCB vaults met een kunstmatig lage oracleprijs worden geliquideerd. Daarna verkocht hij de buit met winst.”

Schade loopt op tot ruim 900.000 dollar

De uiteindelijke opbrengst voor de aanvaller wordt geschat op ongeveer 912.000 tot 915.000 dollar. Volgens blockchainbeveiliger PeckShield kwam het verlies terecht bij 42DAO, de organisatie achter Balance Protocol.

Volgens de documentatie van Balance Protocol wordt de stablecoin voornamelijk gedekt door Bitcoin Cash (BCH) als onderpand. Toch manipuleerde de aanvaller de prijsinformatie van Binance Bitcoin, waardoor de beveiliging van het leenprotocol werd omzeild.