Un hacker fait s’effondrer un stablecoin en une transaction : -99 %

Une nouvelle attaque contre un protocole DeFi rappelle la fragilité persistante de certains projets crypto. Le stablecoin Balance Coin (BLC) a perdu presque toute sa valeur en quelques heures, après qu’un attaquant a exploité une faille dans le système de prix du protocole.

Selon des chercheurs en cybersécurité, plusieurs contrôles essentiels faisaient défaut, ce qui a permis de mener l’attaque en une seule transaction.

Un pirate fait vaciller tout le système

Balance Coin est un stablecoin algorithmique conçu pour s’échanger autour de 1 dollar. Les utilisateurs peuvent déposer du Bitcoin (BTC) en garantie afin d’émettre le jeton. Lorsque la valeur de cette garantie baisse trop fortement, les coffres concernés sont automatiquement liquidés.

Mais la mécanique a déraillé aujourd’hui. Le cours de Balance Coin est passé de près de 1 dollar à environ 0,0014 dollar. La quasi-totalité de sa capitalisation, estimée à environ 3,5 millions de dollars, s’est ainsi évaporée.

Selon la société de sécurité blockchain SlowMist, l’attaquant a manipulé l’oracle du protocole. Un oracle transmet des données de prix externes à un smart contract. En l’espèce, un prix artificiellement bas pour Binance Bitcoin (BTCB) a été transmis, puis accepté par le protocole sans vérification supplémentaire.

Le système a alors considéré que plusieurs coffres en BTCB n’étaient plus suffisamment garantis. L’attaquant a pu les liquider immédiatement, récupérer les garanties libérées, puis les revendre avec profit.

SlowMist indique que l’attaque a été rendue possible par l’absence de mécanisme de protection des prix et de délai avant liquidation.

« L’attaquant a exploité en une seule transaction des failles de sécurité dans le système. Plusieurs coffres en BTCB ont ainsi pu être liquidés sur la base d’un prix d’oracle artificiellement bas. Il a ensuite revendu les actifs récupérés avec profit. »

Le préjudice dépasse 900 000 dollars

Le gain final de l’attaquant est estimé entre 912 000 et 915 000 dollars. Selon la société de sécurité blockchain PeckShield, la perte a été supportée par 42DAO, l’organisation à l’origine de Balance Protocol.

D’après la documentation de Balance Protocol, le stablecoin est principalement adossé à du Bitcoin Cash (BCH) en garantie. L’attaquant a toutefois manipulé les données de prix de Binance Bitcoin, ce qui lui a permis de contourner les protections du protocole de prêt.