算法稳定币Balance Coin遭遇致命攻击，市值近乎归零

周三，名为Balance Coin（BLC）的算法稳定币价格骤跌逾99%，从接近1美元的水平滑落至不足0.0025美元，其350万美元的名义市值几乎全部蒸发。此次暴跌源于攻击者操控了项目所依赖的BTCB价格预言机，并成功从协议金库中盗取91.2万美元资产。

虚假价格触发清算机制，安全金库瞬间资不抵债

Balance Protocol采用类Maker架构，允许用户以BCH、BTCB及USDT等作为抵押品铸造与美元挂钩的BLC代币。当抵押物价值低于债务阈值时，系统将自动启动清算流程，出售抵押资产以偿还债务。然而，由于其价格馈送机制存在严重缺陷，攻击者得以通过Spotter合约中的“poke”函数注入异常低价数据，直接诱导系统认定金库已违约。

据安全机构SlowMist分析，该协议未部署时间加权平均价格源、缺乏价格波动边界校验，也无清算延迟机制。这些缺失使得原本应具备抗攻击能力的金库，在虚假价格输入后迅速进入清算状态，最终被完全清空。

伪造代币批量生成并快速变现，攻击链路完整闭环

在金库被清空后，攻击者并未停止行动。他们通过一个被篡改的GemJoin合约，从一个空地址凭空铸造了约450万枚BLC代币，并立即将其转移至PancakeSwap V2进行兑换，换得BSC-USD与BTCB等真实资产。这一操作使无锚定支撑的新供应量瞬间涌入市场，彻底摧毁了代币的价格稳定性。

两小时后，另一笔交易再次生成5900枚新代币，表明攻击者具备持续性操作能力。这种“制造—兑换—变现”的路径，揭示出当前DeFi协议在铸币逻辑与流动性管理上的深层脆弱性。

标准审计未能覆盖预言机风险，安全盲区暴露无遗

尽管42DAO曾公开其BLC铸币合约获得CertiK审计报告，但此次事件暴露出传统审计范式的局限性。现有智能合约审查主要聚焦于重入攻击、溢出漏洞、权限控制错误等编码层面问题，普遍将外部预言机输入视为可信来源，而未将其可能遭受操纵纳入威胁建模。

尽管OWASP已在2026年版智能合约十大风险中明确列出“预言机操纵”，但实际防护措施如时间加权价格、动态边界检测、清算冷却期等，仍常被排除在常规审计范围之外。这导致即使代码本身无误，系统整体仍可能因外部输入异常而崩溃。

BNC链三起沉默攻击，折射治理失灵与市场警觉升级

本次事件是过去两个月内BNB Chain上第三起重大安全事故，也是第三次攻击发生后项目方选择保持沉默的案例。5月底，DxScale约730万美元资金从遗留锁定器中被窃；6月初，TesseraDAO因管理员密钥泄露损失250万美元，超9900万枚TSR代币被转移。

此类事件反映出攻击者策略的演变：不再依赖传统代码漏洞，而是转向预言机接口与治理权限的软弱点。叠加2022年UST崩盘、近期Ethena USDe与Abracadabra MIM脱锚的背景，市场对算法稳定币的信任正面临新一轮考验，安全设计需从“代码可信”转向“输入可信”。