Le projet 79thVault sur la BNB Chain a perdu environ 12,5 millions de dollars après l'utilisation non autorisée d'une adresse d'administration privilégiée, un incident affectant près de 10 000 détenteurs et laissant une question centrale sans réponse : s'agissait-il d'un hack ou d'une action interne ?

La société de sécurité GoPlus Security a examiné l'affaire on-chain, traçant le mouvement des fonds depuis la paire de liquidité 79AU/USDT jusqu'aux portefeuilles où se trouvent désormais les produits. Son analyse laisse deux explications ouvertes — une clé d'opérateur divulguée ou une activité interne. Le projet n'a confirmé ni l'un ni l'autre, et sa déclaration publique n'a mentionné qu'une mise à niveau du système.

Ce que les données on-chain révèlent sur le rôle d'opérateur

GoPlus Security a détaillé ses conclusions dans une publication sur X intitulée « Hack or insider? Security analysis of the $12.5M loss at 79thVault », publiée le 8 octobre 2026. La société a indiqué que le contrat 79AU comporte une fonction restreinte à l'OPERATOR_ROLE. Selon GoPlus, « le risque de contrôle centralisé était élevé ».

Hack or insider? Security analysis of the $12.5M loss at 79thVault

Le projet BNB Chain @79thVault a perdu environ 12,5 M$ après l'utilisation non autorisée d'une adresse d'administration privilégiée. Près de 10 000 détenteurs sont affectés. Une clé d'opérateur divulguée et une activité interne sont toutes deux encore… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) 8 octobre 2026

Les appels on-chain montrent que la fonction restreinte peut déplacer des 79AU depuis une adresse choisie vers n'importe quel destinataire. Dans cet incident, elle a retiré des jetons de la paire 79AU/USDT, puis appelé sync() pour mettre à jour les réserves enregistrées de la paire. GoPlus a écrit que l'« effet est assimilable à une porte dérobée ». Le compte rendu de la société repose sur les appels on-chain observés ; le code source du contrat reste non vérifié sur BscScan, si bien qu'il n'existe aucun code publié à comparer au comportement observé.

L'OPERATOR_ROLE était détenu par l'adresse 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. Concernant les protections absentes, GoPlus a écrit : « Pas de multisig. Pas de timelock. » L'approbation multisig et les timelocks sont les protections standard pour les rôles de contrat privilégiés — la première exige que plusieurs détenteurs de clés approuvent une action sensible, le second retarde l'exécution suffisamment longtemps pour que les utilisateurs et les services de surveillance puissent réagir. Leur absence a laissé une seule clé détenir un pouvoir unilatéral sur une fonction capable de déplacer des 79AU depuis n'importe quelle adresse.

Entre 07h25 et 08h19 UTC, cette adresse a exécuté sept appels privilégiés, tous concentrés sur environ une heure. GoPlus a cité une clé d'opérateur divulguée et un initié comme les deux sources possibles de cette activité. Les appels ont déplacé2,01 millions de 79AU vers 0xc3E90f78A918594a605d584887b2775F4b80A099, chaque transfert allant de 10 000 à 500 000 jetons. Les transferts ont coïncidé avec une forte hausse du prix du 79AU. Le rôle a été révoqué après l'incident.

Suivi des fonds

GoPlus a tracé le chemin complet depuis la paire de liquidité jusqu'aux portefeuilles finaux, reconstituant chaque étape à partir des registres on-chain. L'adresse destinataire a vendu les 79AU dans le pool et vidé l'USDT, puis converti les produits en 16 249 BNB. Ces fonds ont été regroupés à l'adresse 0x629B368c6BF1a9f190e38f21235033FEcE8A6231.

Plusieurs transferts plus modestes de 10 à 15 BNB chacun ont suivi, et leur objectif reste flou. L'essentiel des fonds se trouve désormais à l'adresse 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. Cette adresse détient 14 394,92 BNB, d'une valeur d'environ 11,03 millions de dollars, et GoPlus a signalé qu'aucun mouvement supplémentaire n'est survenu à ce jour — ce qui signifie que la majeure partie des produits reste immobile et traçable sur une seule adresse pour l'instant.

Pourquoi la question du hack ou de l'affaire interne reste ouverte

Un message de négociation de prime on-chain ajoute une autre question : il a été envoyé depuis la même adresse privilégiée utilisée lors de l'incident. Selon GoPlus, utiliser cette adresse pour communiquer avec un attaquant « serait inhabituel ». La société a ajouté que l'authenticité du message « reste en question ».

Parallèlement, la publication du projet sur X a décrit l'événement comme une mise à niveau du système — un libellé que GoPlus a qualifié de « vague ». Le projet n'a partagé aucun détail sur la compromission suspectée de la clé, la transaction de révocation du rôle ou la répartition des pertes. GoPlus a déclaré que cette divulgation limitée « laisse ouverte la question de savoir si les utilisateurs ont reçu suffisamment d'informations ».

Ce qui reste non résolu, c'est qui a utilisé l'adresse privilégiée et comment sa clé a été obtenue. Les conclusions de GoPlus établissent la mécanique de la perte, mais s'arrêtent avant d'imputer la responsabilité des quelque 12,5 millions de dollars perdus. Désormais, les indicateurs à surveiller sont observables on-chain : tout mouvement des 14 394,92 BNB détenus à l'adresse 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, la vérification du code source du contrat 79AU sur BscScan, et la question de savoir si le projet divulguera les détails qu'il a jusqu'ici retenus.