El saldo de la Moneda colapsa un 99,92% tras el exploit en BNB Chain de 912.000.

Balance Protocol sufrió un exploit el 22 de julio de 2026, cuando un atacante drenó 912.000 dólares en BTCB desde las bóvedas de 42DAO en BNB Chain. El ataque usó un feed manipulado del Median Oracle para activar liquidaciones falsas; las firmas de seguridad Slowmist y Peckshield confirmaron. Balance Coin (BLC), el stablecoin del protocolo, se desplomó un 99,92% desde cerca de 1 dólar hasta aproximadamente 0,000795 dólares por Coinmarketcap. El exploit atacó un sistema de deuda colateralizada modelado a partir de MakerDAO, donde los usuarios bloquean BTCB y acuñan BLC contra él. No se comprometieron claves privadas; el protocolo aceptó una entrada de precio falsa sin verificación, lo que permitió al atacante apoderarse del colateral y venderlo en Pancakeswap para obtener ganancias.

El atacante explotó el feed de precios del Median Oracle para drenar bóvedas

Las firmas de seguridad Peckshield y Slowmist confirmaron el exploit dentro de las horas posteriores al ataque. Peckshield estimó primero la pérdida cerca de 915.000 dólares. Slowmist luego ajustó esa cifra a aproximadamente 912.000 dólares y publicó un desglose técnico.

El atacante utilizó la función poke del contrato Spotter para introducir en el sistema un precio artificialmente bajo de BTCB en el contrato de contabilidad. El oráculo aceptó el número sin comprobarlo frente a precios de mercado. Las bóvedas sanas de repente parecieron insolventes. El módulo Dog, que gestiona las liquidaciones, incautó el colateral en una sola transacción y el atacante lo vendió en Pancakeswap para obtener ganancias.

Slowmist lo calificó como un combo en una sola transacción que explotó la falta de protección de precios y la ausencia de un retraso de liquidación en un sistema estilo Maker. Los registros de blockchain apuntan a un solo hash de transacción como ruta principal del exploit, junto con la dirección de billetera del atacante, un contrato víctima, el contrato Spotter y el contrato Dog usado para las liquidaciones. Los investigadores rastrearon cada paso desde la entrada del precio falso hasta la venta final en Pancakeswap.

El diseño del protocolo carecía de salvaguardas estándar de precios

Se informó que en el diseño faltaban varias salvaguardas estándar:

• Sin comprobaciones de desviación de precio frente a mercados externos
• Sin límites máximos de caída (drawdown) en el feed del oráculo
• Sin precio mínimo para detectar lecturas claramente falsas
• Sin retraso entre una actualización de precio y una liquidación

Balance Coin cotizaba cerca de 0,995 a 1,00 dólares antes del ataque. En cuestión de horas, cayó a unos 0,0014 dólares y luego se deslizó aún más entre 0,0008 y 0,0013 dólares en los principales trackers. Coinmarketcap mostró más tarde un precio cercano al mínimo intradía de 0,000795 dólares, una caída del 99,92% en 24 horas.

La capitalización de mercado de Balance Coin cayó a 2.800 dólares

Antes del ataque, el suministro en circulación de Balance Coin estaba cerca de 3,5 millones de tokens, dándole un valor nominal cercano a 3,5 millones de dólares. Tras el colapso, su capitalización de mercado cayó a aproximadamente 2.800 dólares. El volumen de trading se disparó a cerca de 103.000 dólares en 24 horas cuando los tenedores salieron y los traders de arbitraje revisaron los restos.

El máximo histórico del token fue de 1,42 dólares en mayo de 2025. El depeg del 22 de julio se convirtió en su nuevo mínimo histórico. 42DAO no ha anunciado un plan de recuperación ni compensación para los usuarios afectados. El BTCB drenado permanece bajo el control del atacante.

Algunos trackers registraron miles de transacciones en las horas posteriores al exploit; muchas de ellas fueron compras, un patrón habitual cuando los especuladores persiguen un token despegado con la esperanza de un rebote o de una operación rápida de arbitraje. La actividad no restauró el depeg. La clasificación de Balance Coin en los principales agregadores cayó profundamente en los miles bajos, y la liquidez, que ya era escasa antes del ataque, desapareció en gran medida. Las estadísticas de Coinmarketcap indican que el suministro en circulación de BLC es autodeclarado y que el coin tiene más de 18.000 tenedores.

Preguntas frecuentes

¿Qué pasó con Balance Coin el 22 de julio de 2026?

Un atacante drenó 912.000 dólares en BTCB desde las bóvedas de 42DAO en BNB Chain usando un feed manipulado del Median Oracle. Balance Coin se desplomó un 99,92% desde cerca de 1 dólar hasta aproximadamente 0,000795 dólares.

¿Cómo explotó el atacante Balance Protocol?

El atacante usó la función poke del contrato Spotter para introducir un precio artificialmente bajo de BTCB en el contrato de contabilidad del sistema. El oráculo aceptó el número falso sin verificación, lo que desencadenó liquidaciones de las que el atacante obtuvo ganancias al vender el colateral incautado en Pancakeswap.

¿Qué salvaguardas faltaban en el diseño de Balance Protocol?

El protocolo carecía de comprobaciones de desviación de precio frente a mercados externos, límites máximos de caída (drawdown) en el feed del oráculo, un precio mínimo para detectar lecturas falsas y un retraso entre actualizaciones de precio y liquidaciones.