Balance Protocol mengalami eksploit pada 22 Juli 2026, ketika seorang penyerang menguras BTCB senilai $912.000 dari brankas 42DAO di BNB Chain. Serangan itu memakai umpan harga Median Oracle yang dimanipulasi untuk memicu likuidasi palsu; firma keamanan Slowmist dan Peckshield mengonfirmasi. Balance Coin (BLC), stablecoin milik protokol tersebut, anjlok 99,92% dari mendekati $1 menjadi sekitar $0,000795 berdasarkan data Coinmarketcap. Eksploit ini menargetkan sistem utang beragunan yang dimodelkan seperti MakerDAO, di mana pengguna mengunci BTCB dan mencetak BLC terhadapnya. Tidak ada kunci privat yang dikompromikan; protokol menerima input harga palsu tanpa verifikasi, sehingga memungkinkan penyerang menyita jaminan dan menjualnya di Pancakeswap untuk meraih keuntungan.
Penyerang Mengeksploitasi Umpan Harga Median Oracle untuk Menguras Brankas
Firma keamanan Peckshield dan Slowmist mengonfirmasi eksploit tersebut dalam beberapa jam setelah serangan. Peckshield pertama kali memperkirakan kerugian mendekati $915.000. Slowmist kemudian menyempurnakan angka itu menjadi sekitar $912.000 dan mempublikasikan rincian teknis.
Penyerang menggunakan fungsi poke pada kontrak Spotter contract untuk mendorong harga BTCB yang dibuat terlalu rendah ke kontrak akuntansi sistem. Oracle menerima angka itu tanpa memeriksanya terhadap harga pasar. Brankas yang sehat mendadak tampak tidak solvabel. Modul Dog contract, yang menangani likuidasi, menyita jaminan dalam satu transaksi, dan penyerang menjualnya di Pancakeswap untuk profit.
Slowmist menyebutnya sebagai kombo satu transaksi yang mengeksploitasi perlindungan harga yang hilang dan penundaan likuidasi yang hilang dalam sistem bergaya Maker. Catatan blockchain menunjukkan hash transaksi tunggal sebagai jalur eksploit utama, bersama dengan alamat dompet penyerang, kontrak korban, kontrak Spotter, dan kontrak Dog contract yang digunakan untuk likuidasi. Investigasi menelusuri setiap langkah dari entri harga palsu hingga penjualan akhir di Pancakeswap.
Desain Protokol Kekurangan Pengaman Harga Standar
Sejumlah pengamanan standar dilaporkan tidak ada dalam desain:
- Tidak ada pengecekan deviasi harga terhadap pasar di luar
- Tidak ada batas maksimum drawdown pada umpan oracle
- Tidak ada price floor untuk menangkap pembacaan yang jelas-jelas salah
- Tidak ada jeda antara pembaruan harga dan likuidasi
Balance Coin diperdagangkan di sekitar $0,995 hingga $1,00 sebelum serangan. Dalam hitungan jam, nilainya jatuh ke sekitar $0,0014, lalu terus meluncur menjadi antara $0,0008 dan $0,0013 pada pelacak utama. Coinmarketcap later showed a price mendekati titik terendah intraday sebesar $0,000795, penurunan 99,92% dalam 24 jam.
Kapitalisasi Pasar Balance Coin Turun ke $2.800
Sebelum serangan, pasokan beredar Balance Coin berada di kisaran 3,5 juta token, yang memberi nilai nominal mendekati $3,5 juta. Setelah kejatuhan tersebut, kapitalisasi pasarnya anjlok menjadi sekitar $2.800. Volume perdagangan melonjak menjadi sekitar $103.000 dalam 24 jam saat pemegang keluar dan trader arbitrase menyisir sisa-sisanya.
Rekor all time high token adalah $1,42 pada Mei 2025. Depeg pada 22 Juli menjadi all time low baru. 42DAO belum mengumumkan rencana pemulihan atau kompensasi bagi pengguna yang terdampak. BTCB yang dikuras masih berada di bawah kendali penyerang.
Beberapa pelacak mencatat ribuan transaksi dalam jam-jam setelah eksploit, banyak di antaranya adalah pembelian; pola yang umum saat spekulan mengejar token yang mengalami depeg dengan harapan rebound atau perdagangan arbitrase cepat. Aktivitas itu tidak memulihkan peg. Peringkat Balance Coin di agregator utama turun jauh ke bagian ribuan bawah, dan likuiditas yang sudah tipis sebelum serangan sebagian besar menghilang. Statistik Coinmarketcap menyatakan pasokan beredar BLC bersifat pelaporan mandiri dan koin tersebut memiliki lebih dari 18.000 pemegang.
FAQ
Apa yang terjadi pada Balance Coin pada 22 Juli 2026?
Seorang penyerang menguras BTCB senilai $912.000 dari brankas 42DAO di BNB Chain menggunakan umpan harga Median Oracle yang dimanipulasi. Balance Coin anjlok 99,92% dari mendekati $1 menjadi sekitar $0,000795.
Bagaimana penyerang mengeksploitasi Balance Protocol?
Penyerang menggunakan fungsi poke pada kontrak Spotter contract untuk mendorong harga BTCB yang dibuat terlalu rendah ke kontrak akuntansi sistem. Oracle menerima angka palsu tanpa verifikasi, memicu likuidasi yang memberi keuntungan kepada penyerang melalui penjualan jaminan yang disita di Pancakeswap.
Pengamanan apa yang hilang dari desain Balance Protocol?
Protokol tidak memiliki pengecekan deviasi harga terhadap pasar di luar, batas maksimum drawdown pada umpan oracle, price floor untuk menangkap pembacaan palsu, serta jeda antara pembaruan harga dan likuidasi.
