Balance Coin giữ được mức cân bằng sau khi lao dốc 99,92% sau vụ khai thác trên BNB Chain trị giá 912.000 USD

Balance Protocol đã hứng chịu một cuộc khai thác (exploit) vào ngày 22/7/2026, khi kẻ tấn công rút sạch 912.000 USD (912,000) BTCB từ các vault của 42DAO trên BNB Chain. Cuộc tấn công sử dụng một nguồn cấp giá Median Oracle đã bị thao túng để kích hoạt các thanh lý giả; các công ty bảo mật Slowmist và Peckshield đã xác nhận. Balance Coin (BLC), stablecoin của giao thức, đã sụt 99,92% từ gần 1 USD xuống khoảng 0,000795 USD mỗi coin theo Coinmarketcap. Vụ khai thác nhắm vào một hệ thống nợ được thế chấp (collateralized debt system) được mô phỏng theo MakerDAO, nơi người dùng khóa BTCB và đúc BLC dựa trên đó. Không có khóa riêng bị lộ; giao thức chấp nhận một đầu vào giá sai mà không xác minh, cho phép kẻ tấn công chiếm đoạt tài sản thế chấp và bán trên Pancakeswap để thu lợi.

Kẻ tấn công khai thác Median Oracle để rút sạch các vault

Các công ty bảo mật Peckshield và Slowmist xác nhận vụ khai thác trong vòng vài giờ sau cuộc tấn công. Peckshield ước tính thiệt hại gần 915.000 USD. Slowmist sau đó tinh chỉnh con số xuống khoảng 912.000 USD và công bố bản phân tích kỹ thuật.

Kẻ tấn công sử dụng hàm poke của hợp đồng Spotter để đẩy một mức giá BTCB nhân tạo thấp vào hợp đồng kế toán (accounting) của hệ thống. Oracle chấp nhận con số đó mà không đối chiếu với giá thị trường. Các vault “khỏe mạnh” ngay lập tức trông có vẻ mất khả năng thanh toán (insolvent). Mô-đun Dog, chịu trách nhiệm cho các đợt thanh lý, đã tịch thu tài sản thế chấp trong một giao dịch duy nhất và kẻ tấn công bán trên Pancakeswap để kiếm lợi nhuận.

Slowmist gọi đây là một “combo giao dịch đơn” lợi dụng việc thiếu cơ chế bảo vệ giá và thiếu độ trễ thanh lý trong một hệ thống kiểu Maker. Dữ liệu trên blockchain cho thấy một hash giao dịch duy nhất là lối đi khai thác chính, cùng với địa chỉ ví của kẻ tấn công, hợp đồng nạn nhân, hợp đồng Spotter và hợp đồng Dog được dùng cho việc thanh lý. Các nhà điều tra đã lần theo từng bước từ việc nhập giá sai cho tới giao dịch bán cuối cùng trên Pancakeswap.

Thiết kế giao thức thiếu các biện pháp bảo vệ giá tiêu chuẩn

Một số biện pháp bảo vệ tiêu chuẩn được cho là đã không có trong thiết kế:

• Không có kiểm tra độ lệch giá so với các thị trường bên ngoài
• Không có giới hạn sụt giảm tối đa (maximum drawdown) trên nguồn cấp oracle
• Không có ngưỡng giá sàn để bắt các giá trị đọc rõ ràng là sai
• Không có độ trễ giữa cập nhật giá và thanh lý

Balance Coin giao dịch quanh 0,995 đến 1,00 USD trước cuộc tấn công. Trong vài giờ, nó rơi xuống khoảng 0,0014 USD, rồi tiếp tục trượt xuống khoảng giữa 0,0008 và 0,0013 USD trên các nền tảng theo dõi lớn. Coinmarketcap sau đó cho thấy giá gần mức thấp trong ngày là 0,000795 USD, mức giảm trong 24 giờ là 99,92%.

Vốn hóa thị trường của Balance Coin giảm xuống 2.800 USD

Trước cuộc tấn công, lượng cung lưu hành của Balance Coin ở gần 3,5 triệu token, tạo ra giá trị danh nghĩa khoảng 3,5 triệu USD. Sau sự sụp đổ, vốn hóa thị trường của nó giảm xuống khoảng 2.800 USD. Khối lượng giao dịch tăng vọt lên khoảng 103.000 USD trong 24 giờ khi các nhà nắm giữ thoát ra và các nhà giao dịch chênh lệch giá (arbitrage) “mò” qua phần còn lại.

Mức đỉnh mọi thời đại (all time high) của token là 1,42 USD vào tháng 5/2025. Việc mất neo giá (depeg) vào ngày 22/7 trở thành mức thấp mọi thời đại mới. 42DAO vẫn chưa công bố kế hoạch khôi phục hoặc bồi thường cho người dùng bị ảnh hưởng. Toàn bộ lượng BTCB bị rút sạch vẫn nằm trong quyền kiểm soát của kẻ tấn công.

Một số nền tảng theo dõi đã ghi nhận hàng nghìn giao dịch trong các giờ sau vụ khai thác; nhiều giao dịch trong số đó là mua vào, một mẫu hình thường gặp khi nhà đầu cơ đuổi theo một token bị mất neo giá với hy vọng có đợt hồi hoặc một lệnh arbitrage nhanh. Hoạt động này không khôi phục được mức neo. Hạng của Balance Coin trên các nền tảng tổng hợp lớn đã rơi sâu xuống tận nhóm vài nghìn thấp, và thanh khoản vốn đã mỏng trước cuộc tấn công phần lớn biến mất. Thống kê của Coinmarketcap cho biết lượng cung lưu hành của BLC là tự báo cáo và đồng coin này có hơn 18.000 người nắm giữ.

FAQ

Điều gì đã xảy ra với Balance Coin vào ngày 22/7/2026?

Một kẻ tấn công đã rút sạch 912.000 USD BTCB từ các vault của 42DAO trên BNB Chain bằng cách dùng nguồn cấp giá Median Oracle đã bị thao túng. Balance Coin sụp 99,92% từ gần 1 USD xuống khoảng 0,000795 USD.

Kẻ tấn công đã khai thác Balance Protocol như thế nào?

Kẻ tấn công đã dùng hàm poke của hợp đồng Spotter để đẩy một mức giá BTCB nhân tạo thấp vào hợp đồng kế toán của hệ thống. Oracle chấp nhận con số sai mà không xác minh, kích hoạt các đợt thanh lý mà kẻ tấn công kiếm lời nhờ bán tài sản thế chấp bị tịch thu trên Pancakeswap.

Những biện pháp bảo vệ nào đã thiếu trong thiết kế của Balance Protocol?

Giao thức thiếu kiểm tra độ lệch giá so với các thị trường bên ngoài, thiếu giới hạn sụt giảm tối đa trên nguồn cấp oracle, không có ngưỡng giá sàn để bắt các giá trị đọc sai và không có độ trễ giữa các lần cập nhật giá và các đợt thanh lý.