Das BNB-Chain-Projekt 79thVault verlor rund 12,5 Millionen US-Dollar, nachdem eine privilegierte Admin-Adresse unbefugt genutzt wurde – ein Vorfall, von dem fast 10.000 Halter betroffen sind und der eine zentrale Frage offenlässt: War es ein Hack oder eine Insider-Handlung?

Das Sicherheitsunternehmen GoPlus Security hat den Fall On-Chain untersucht und die Bewegung der Mittel vom Liquiditätspaar 79AU/USDT bis zu den Wallets nachverfolgt, in denen sich die Erlöse nun befinden. Seine Analyse lässt zwei Erklärungen offen – einen geleakten Operator-Key oder eine Insider-Aktivität. Das Projekt hat beides nicht bestätigt; seine öffentliche Erwähnung beschränkte sich auf ein System-Upgrade.

Was die On-Chain-Daten zur Operator-Rolle zeigen

GoPlus Security hat seine Erkenntnisse in einem Beitrag auf X mit dem Titel „Hack oder Insider? Sicherheitsanalyse des Verlusts von 12,5 Mio. US-Dollar bei 79thVault“ veröffentlicht, der am 8. Oktober 2026 erschien. Das Unternehmen erklärte, der 79AU-Vertrag verfüge über eine Funktion, die auf die OPERATOR_ROLE beschränkt ist. Laut GoPlus sei das „zentralisierte Kontrollrisiko hoch“ gewesen.

Hack oder Insider? Sicherheitsanalyse des Verlusts von 12,5 Mio. US-Dollar bei 79thVault

Das BNB-Chain-Projekt @79thVault verlor rund 12,5 Mio. US-Dollar, nachdem eine privilegierte Admin-Adresse unbefugt genutzt wurde. Fast 10.000 Halter sind betroffen. Ein geleakter Operator-Key und Insider-Aktivitäten sind beide weiterhin… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) 8. Oktober 2026

On-Chain-Aufrufe zeigen, dass die eingeschränkte Funktion 79AU von einer beliebigen Adresse an jeden Empfänger bewegen kann. In diesem Fall zog sie Token aus dem Paar 79AU/USDT und rief anschließend sync() auf, um die gespeicherten Reserven des Paares zu aktualisieren. GoPlus schrieb, die „Wirkung sei Backdoor-artig“. Die Darstellung der Funktion durch das Unternehmen beruht auf beobachteten On-Chain-Aufrufen; der Quellcode des Vertrags ist auf BscScan nicht verifiziert, sodass es keinen veröffentlichten Code zum Abgleich mit dem beobachteten Verhalten gibt.

Die OPERATOR_ROLE hielt die Adresse 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. Zu den fehlenden Sicherungsmaßnahmen schrieb GoPlus: „Kein Multisig. Kein Timelock.“ Multig-Freigaben und Timelocks sind die Standardsicherungen für privilegierte Vertragsrollen – bei der Ersteren müssen mehrere Schlüsselinhaber eine sensible Aktion genehmigen, bei Letzterer wird die Ausführung so lange verzögert, dass Nutzer und Überwachungsdienste reagieren können. Ihr Fehlen überließ einem einzigen Schlüssel die alleinige Kontrolle über eine Funktion, die 79AU von beliebigen Adressen bewegen konnte.

Zwischen 07:25 und 08:19 UTC führte diese Adresse sieben privilegierte Aufrufe aus, alle innerhalb von rund einer Stunde. GoPlus nannte einen geleakten Operator-Key und einen Insider als die beiden möglichen Quellen der Aktivität. Die Aufrufe bewegten 2,01 Millionen 79AU an 0xc3E90f78A918594a605d584887b2775F4b80A099, wobei die einzelnen Transfers zwischen 10.000 und 500.000 Token lagen. Die Transfers fielen mit einem steilen Anstieg des 79AU-Kurses zusammen. Die Rolle wurde nach dem Vorfall widerrufen.

Verfolgung der Gelder

GoPlus verfolgte den gesamten Weg vom Liquiditätspaar bis zu den finalen Wallets und rekonstruierte jeden Schritt anhand der On-Chain-Daten. Die empfangende Adresse verkaufte die 79AU in den Pool und leerte die USDT, anschließend wandelte sie die Erlöse in 16.249 BNB um. Diese Mittel wurden unter 0x629B368c6BF1a9f190e38f21235033FEcE8A6231 gebündelt.

Darauf folgten mehrere kleinere Transfers von jeweils 10 bis 15 BNB, deren Zweck unklar ist. Der Großteil der Gelder liegt nun auf 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. Diese Adresse hält 14.394,92 BNB im Wert von rund 11,03 Millionen US-Dollar, und GoPlus berichtete, dass bisher keine weitere Bewegung stattgefunden hat – das heißt, der Großteil der Erlöse liegt vorerst unverändert und nachvollziehbar auf einer einzelnen Adresse.

Warum die Hack-oder-Insider-Frage offen bleibt

Eine On-Chain-Nachricht zur Bounty-Verhandlung wirft eine weitere Frage auf: Sie wurde von derselben privilegierten Adresse gesendet, die im Vorfall verwendet wurde. Laut GoPlus wäre es „ungewöhnlich“, diese Adresse zur Kommunikation mit einem Angreifer zu nutzen. Das Unternehmen fügte hinzu, die Echtheit der Nachricht sei „weiterhin fraglich“.

Unterdessen beschrieb das Projekt in seinem eigenen Beitrag auf X das Ereignis als System-Upgrade – eine Formulierung, die GoPlus als „vag“ bezeichnete. Das Projekt hat bislang keine Details zur mutmaßlichen Kompromittierung des Schlüssels, zur Widerrufstransaktion der Rolle oder zur Aufschlüsselung des Verlusts mitgeteilt. GoPlus erklärte, diese begrenzte Offenlegung „lasse offen, ob die Nutzer ausreichend informiert wurden“.

Ungeklärt bleibt, wer die privilegierte Adresse genutzt hat und wie der Schlüssel erlangt wurde. Die Erkenntnisse von GoPlus zeigen die Mechanik des Verlusts auf, vermuten aber keine Verantwortlichkeit für die rund 12,5 Millionen US-Dollar Verlust. Von hier aus lassen sich die zu beobachtenden Indikatoren On-Chain erkennen: jede Bewegung der 14.394,92 BNB auf 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, die Verifizierung des Quellcodes des 79AU-Vertrags auf BscScan und ob das Projekt die bislang zurückgehaltenen Details offenlegt.