Manipulación de oráculo hunde a BLC un 99% en BSC
La stablecoin balance coin (BLC), operativa en la red BNB Smart Chain, perdió su paridad con el dólar estadounidense y experimentó una caída del 99%, situándose en los 0,00063 dólares. El incidente, reportado el 22 de julio de 2026, fue consecuencia de un ciberataque que provocó pérdidas estimadas en 912.000 dólares, según la firma de seguridad SlowMist.
Mecánica del exploit y fallo en el oráculo
El ataque se ejecutó sobre el protocolo 42DAO, la entidad de gobernanza descentralizada emisora de BLC. Su modelo, similar al de MakerDAO, permite a los usuarios depositar garantías en BTCB (un token respaldado por Bitcoin en la red BNB) para generar la stablecoin. Si el valor de la garantía cae por debajo de un límite, el sistema la liquida automáticamente.
Para determinar el valor de la garantía, 42DAO utiliza un oráculo interno denominado Median Oracle. La vulnerabilidad aprovechada por el atacante se centró en los siguientes puntos:
- Inyección de datos falsos: El atacante manipuló el precio reportado para el BTCB, enviando la información fraudulenta a través de una función llamada poke, perteneciente a un contrato interno conocido como Spotter.
- Ausencia de controles: El contrato Spotter debía filtrar variaciones sospechosas antes de aceptar un nuevo precio. Sin embargo, carecía de mecanismos para detectar cambios bruscos, límites de caída máxima o un piso mínimo de precio.
- Aprobación del dato: Debido a esta falta de supervisión, el dato manipulado pasó sin obstáculos y el sistema aceptó un precio de BTCB artificialmente bajo como válido.
Ejecución de la liquidación manipulada
Con esta base de precio falsa establecida en el sistema, el atacante procedió a liquidar varias posiciones. Al realizar estas operaciones con un precio de garantía irreal, el protocolo interpretó que las posiciones estaban infracolateralizadas, permitiendo al atacante quedarse con la diferencia generada. Según detalló SlowMist, todo el proceso se completó en una única transacción.
Silencio por parte de 42DAO Hasta la fecha del reporte, el equipo de 42DAO no ha emitido ningún comunicado oficial sobre el incidente. La plataforma suma más de un mes sin publicar contenido en sus canales de comunicación o redes sociales. No se ha informado sobre posibles compensaciones para los usuarios afectados ni se ha confirmado si se corregirán las fallas estructurales detectadas en los contratos inteligentes del oráculo.
