El proyecto de BNB Chain 79thVault perdió aproximadamente $12.5 millones tras el uso no autorizado de una dirección de administrador privilegiada, un incidente que afecta a cerca de 10,000 tenedores y deja una pregunta central sin respuesta: ¿fue un hackeo o una acción interna?

La firma de seguridad GoPlus Security revisó el caso en la cadena, rastreando el movimiento de fondos desde el par de liquidez 79AU/USDT hasta las billeteras donde se encuentran actualmente los ingresos. Su análisis deja abiertas dos explicaciones: una clave de operador filtrada o una actividad interna. El proyecto no ha confirmado ninguna de las dos, y su declaración pública solo mencionó una actualización del sistema.

Lo que muestran los datos en la cadena sobre el rol de operador

GoPlus Security detalló sus hallazgos en una publicación en X titulada “Hack or insider? Security analysis of the $12.5M loss at 79thVault”, publicada el 8 de octubre de 2026. La firma señaló que el contrato de 79AU tiene una función restringida al OPERATOR_ROLE. Según GoPlus, “el riesgo de control centralizado era alto”.

Hack or insider? Security analysis of the $12.5M loss at 79thVault

El proyecto de BNB Chain @79thVault perdió alrededor de $12.5M tras el uso no autorizado de una dirección de administrador privilegiada. Cerca de 10,000 tenedores están afectados. Una clave de operador filtrada y una actividad interna siguen siendo ambas… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) 8 de octubre de 2026

Las llamadas en la cadena muestran que la función restringida puede mover 79AU desde una dirección elegida a cualquier destinatario. En este incidente, extrajo tokens del par 79AU/USDT y luego llamó a sync() para actualizar las reservas registradas del par. GoPlus escribió que el “efecto es similar a una puerta trasera”. El relato de la firma sobre la función se basa en llamadas en la cadena observadas; el código del contrato sigue sin verificar en BscScan, por lo que no hay código publicado con el que comparar el comportamiento observado.

El OPERATOR_ROLE estaba en poder de la dirección 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. Sobre las salvaguardas ausentes, GoPlus escribió: “Sin multisig. Sin timelock”. La aprobación multisig y los timelocks son las salvaguardas estándar para los roles privilegiados de un contrato: la primera requiere que varios titulares de claves aprueben una acción sensible, y la segunda retrasa la ejecución el tiempo suficiente para que los usuarios y los servicios de monitoreo puedan reaccionar. Su ausencia dejó una sola clave con poder unilateral sobre una función capaz de mover 79AU desde cualquier dirección.

Entre las 07:25 y las 08:19 UTC, esa dirección ejecutó siete llamadas privilegiadas, todas concentradas en aproximadamente una hora. GoPlus enumeró una clave de operador filtrada y un interno como las dos posibles fuentes detrás de la actividad. Las llamadas movieron 2.01 millones de 79AU a 0xc3E90f78A918594a605d584887b2775F4b80A099, con transferencias individuales que oscilaron entre 10,000 y 500,000 tokens. Las transferencias coincidieron con un fuerte aumento del precio de 79AU. El rol fue revocado después del incidente.

Siguiendo los fondos

GoPlus rastreó la ruta completa desde el par de liquidez hasta las billeteras finales, reconstruyendo cada paso a partir de los registros en la cadena. La dirección receptora vendió el 79AU en el pool y drenó el USDT, y luego convirtió los ingresos en 16,249 BNB. Esos fondos se consolidaron en 0x629B368c6BF1a9f190e38f21235033FEcE8A6231.

Le siguieron varias transferencias menores de 10 a 15 BNB cada una, y su propósito no está claro. La mayor parte de los fondos se encuentran ahora en 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. Esa dirección custodia 14,394.92 BNB, con un valor de unos $11.03 millones, y GoPlus informó que aún no se ha producido ningún movimiento adicional, lo que significa que, por ahora, la mayor parte de los ingresos permanece inmovilizada y rastreable en una única dirección.

Por qué la pregunta de hackeo o acción interna sigue abierta

Un mensaje de negociación de recompensa en la cadena añade otra pregunta: fue enviado desde la misma dirección privilegiada utilizada en el incidente. Según GoPlus, usar esa dirección para comunicarse con un atacante “sería inusual”. La firma añadió que la autenticidad del mensaje “sigue en duda”.

Mientras tanto, la propia publicación del proyecto en X describió el evento como una actualización del sistema, una redacción que GoPlus calificó de “vaga”. El proyecto no ha compartido detalles sobre la presunta compromising de la clave, la transacción de revocación del rol ni el desglose de la pérdida. GoPlus dijo que esta divulgación limitada “deja abierta la cuestión de si los usuarios han recibido suficiente información”.

Lo que sigue sin resolverse es quién usó la dirección privilegiada y cómo se obtuvo su clave. Los hallazgos de GoPlus establecen la mecánica de la pérdida, pero no llegan a atribuir la responsabilidad de los aproximadamente $12.5 millones en pérdidas. A partir de aquí, los indicadores a observar son visibles en la cadena: cualquier movimiento de los 14,394.92 BNB custodiados en 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, la verificación del código fuente del contrato de 79AU en BscScan y si el proyecto revela los detalles que hasta ahora ha retenido.