Il progetto su BNB Chain 79thVault ha perso circa 12,5 milioni di dollari dopo l'uso non autorizzato di un indirizzo amministrativo privilegiato, un incidente che ha coinvolto quasi 10.000 holder e che lascia aperta una domanda centrale: si tratta di un hack o di un'azione interna?

La società di sicurezza GoPlus Security ha esaminato il caso on-chain, tracciando il movimento dei fondi dalla coppia di liquidità 79AU/USDT ai wallet in cui si trovano ora i proventi. La sua analisi lascia aperte due spiegazioni: una chiave di operatore trapelata o un'attività interna. Il progetto non ha confermato nessuna delle due, e la sua dichiarazione pubblica ha menzionato solo un aggiornamento di sistema.

Cosa mostrano i dati on-chain sul ruolo di operatore

GoPlus Security ha illustrato i propri risultati in un post su X intitolato "Hack or insider? Security analysis of the $12.5M loss at 79thVault", pubblicato l'8 ottobre 2026. La società ha dichiarato che il contratto 79AU ha una funzione riservata al ruolo OPERATOR_ROLE. Secondo GoPlus, "il rischio di controllo centralizzato era elevato".

Hack or insider? Security analysis of the $12.5M loss at 79thVault

Il progetto su BNB Chain @79thVault ha perso circa 12,5 milioni di dollari dopo l'uso non autorizzato di un indirizzo amministrativo privilegiato. Sono coinvolti quasi 10.000 holder. Una chiave di operatore trapelata e un'attività interna sono entrambe ancora… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) 8 ottobre 2026

Le chiamate on-chain mostrano che la funzione riservata può spostare 79AU da un indirizzo scelto a qualsiasi destinatario. In questo incidente, ha prelevato token dalla coppia 79AU/USDT e ha poi chiamato sync() per aggiornare le riserve registrate della coppia. GoPlus ha scritto che "l'effetto è simile a una backdoor". La ricostruzione della società si basa sulle chiamate on-chain osservate; il codice sorgente del contratto risulta non verificato su BscScan, quindi non esiste codice pubblicato con cui confrontare il comportamento osservato.

Il ruolo OPERATOR_ROLE era detenuto dall'indirizzo 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. Sugli affidamenti mancanti, GoPlus ha scritto: "No multisig. No timelock." L'approvazione multisig e i timelock sono gli affidamenti standard per i ruoli privilegiati dei contratti: il primo richiede che più detentori di chiavi approvino un'azione sensibile, il secondo ritarda l'esecuzione abbastanza a lungo da consentire a utenti e servizi di monitoraggio di reagire. La loro assenza ha lasciato a unaola chiave il potere unilaterale su una funzione capace di spostare 79AU da qualsiasi indirizzo.

Tra le 07:25 e le 08:19 UTC, quell'indirizzo ha eseguito sette chiamate privileggiate, tutte concentrate in circa un'ora. GoPlus ha indicato una chiave di operatore trapelata e un insider come le due possibili fonti dell'attività. Le chiamate hanno spostato 2,01 milioni di 79AU verso 0xc3E90f78A918594a605d584887b2775F4b80A099, con singoli trasferimenti compresi tra 10.000 e 500.000 token. I trasferimenti sono coincisi con un forte rialzo del prezzo di 79AU. Il ruolo è stato revocato dopo l'incidente.

Seguendo i fondi

GoPlus ha tracciato l'intero percorso dalla coppia di liquidità ai wallet finali, ricostruendo ogni passaggio dai registri on-chain. L'indirizzo ricevente ha venduto i 79AU nel pool e svuotato gli USDT, convertendo poi i proventi in 16.249 BNB. Quei fondi sono stati consolidati su 0x629B368c6BF1a9f190e38f21235033FEcE8A6231.

Sono seguiti diversi trasferimenti minori di 10-15 BNB ciascuno, il cui scopo non è chiaro. La maggior parte dei fondi si trova ora su 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. Quell'indirizzo detiene 14.394,92 BNB, del valore di circa 11,03 milioni di dollari, e GoPlus ha riferito che non si è verificato alcun ulteriore movimento, il che significa che la parte maggiore dei proventi rimane per ora ferma e tracciabile su un singolo indirizzo.

Perché la domanda tra hack o azione interna resta aperta

Un messaggio di negoziazione di bounty on-chain aggiunge un'altra domanda: è stato inviato dallo stesso indirizzo privilegiato usato nell'incidente. Secondo GoPlus, usare quell'indirizzo per comunicare con un attacker "sarebbe inusuale". La società ha aggiunto che l'autenticità del messaggio "è ancora in discussione".

Nel frattempo, il post del progetto stesso su X ha descritto l'evento come un aggiornamento di sistema, una formulazione che GoPlus ha definito "vaga". Il progetto non ha condiviso dettagli sulla sospetta compromissione della chiave, sulla transazione di revoca del ruolo o sulla ripartizione della perdita. GoPlus ha detto che questa divulgazione limitata "lascia aperto il dubbio se gli utenti abbiano ricevuto informazioni a sufficienza".

Ciò che resta irrisolto è chi abbia usato l'indirizzo privilegiato e come ne sia stata ottenuta la chiave. I risultati di GoPlus stabiliscono le dinamiche della perdita, ma non attribuiscono la responsabilità dei circa 12,5 milioni di dollari di perdite. Da qui in avanti, i segnali da osservare sono visibili on-chain: qualsiasi movimento dei 14.394,92 BNB detenuti su 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, la verifica del codice sorgente del contratto 79AU su BscScan e l'eventuale divulgazione da parte del progetto dei dettagli finora trattenuti.