Het BNB Chain-project 79thVault verloor ongeveer $12,5 miljoen nadat een bevoegd admin-adres zonder autorisatie werd gebruikt — een incident dat bijna 10.000 houders treft en een centrale vraag onbeantwoord laat: was het een hack of een actie van binnenuit?

Beveiligingsbedrijf GoPlus Security onderzocht de zaak on-chain en volgde de geldstromen van het 79AU/USDT-liquiditeitspaar naar de wallets waar de opbrengst zich nu bevindt. De analyse laat twee verklaringen open — een gelekte operator-sleutel of insider-activiteit. Het project heeft geen van beide bevestigd, en de openbare vermelding sprak slechts van een systeemupgrade.

Wat de on-chain data laat zien over de operator-rol

GoPlus Security zette de bevindingen uiteen in een bericht op X met de titel "Hack or insider? Security analysis of the $12.5M loss at 79thVault", gepubliceerd op 8 oktober 2026. Het bedrijf zei dat het 79AU-contract een functie heeft die beperkt is tot OPERATOR_ROLE. Volgens GoPlus was het "risico van gecentraliseerde controle groot".

Hack or insider? Security analysis of the $12.5M loss at 79thVault

BNB Chain-project @79thVault verloor ongeveer $12,5 miljoen nadat een bevoegd admin-adres zonder autorisatie werd gebruikt. Bijna 10.000 houders zijn getroffen. Een gelekte operator-sleutel en insider-activiteit zijn beide nog steeds… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) 8 oktober 2026

On-chain aanroepen tonen aan dat de beperkte functie 79AU van een gekozen adres naar een willekeurige ontvanger kan verplaatsen. In dit incident trok het tokens uit het 79AU/USDT-paar en riep vervolgens sync() aan om de geregistreerde reserves van het paar bij te werken. GoPlus schreef dat het "effect achterdeur-achtig" is. De beschrijving van de functie door het bedrijf is gebaseerd op waargenomen on-chain aanroepen; de broncode het contract is op BscScan niet geverifieerd, dus er is geen gepubliceerde code om mee te vergelijken met het waargenomen gedrag.

De OPERATOR_ROLE werd gehouden door adres 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. Over de ontbrekende waarborgen schreef GoPlus: "No multisig. No timelock." Multisig-goedkeuring en timelocks zijn de standaardwaarborgen voor bevoegde contractrollen — de eerste vereist dat meerdere sleutelhouders een gevoelige actie goedkeuren, en de tweede stelt de uitvoering zo lang uit dat gebruikers en monitoringdiensten kunnen reageren. Door hun afwezigheid had één sleutel eenzijdige macht over een functie die 79AU van elk adres kon verplaatsen.

Tussen 07:25 en 08:19 UTC voerde dat adres zeven bevoegde aanroepen uit, allemaal geconcentreerd binnen ongeveer een uur. GoPlus noemde een gelekte operator-sleutel en een insider als de twee mogelijke bronnen achter de activiteit. De aanroepen verplaatsten 2,01 miljoen 79AU naar 0xc3E90f78A918594a605d584887b2775F4b80A099, met individuele overboekingen variërend van 10.000 tot 500.000 tokens. De overboekingen vielen samen met een scherpe stijging van de 79AU-prijs. De rol werd na het incident ingetrokken.

De geldstroom volgen

GoPlus volgde het volledige pad van het liquiditeitspaar naar de uiteindelijke wallets en reconstrueerde elke stap uit on-chain gegevens. Het ontvangende adres verkocht de 79AU in de pool en leegde de USDT, waarna de opbrengst werd omgezet in 16.249 BNB. Die middelen werden gebundeld op 0x629B368c6BF1a9f190e38f21235033FEcE8A6231.

Vervolgens volgden verschillende kleinere overboekingen van 10 tot 15 BNB elk, waarvan het doel onduidelijk is. Het grootste deel van de middelen ligt nu op 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. Dat adres houdt 14.394,92 BNB vast ter waarde van ongeveer $11,03 miljoen, en GoPlus meldde dat er nog geen verdere beweging heeft plaatsgevonden — wat betekent dat het overgrote deel van de opbrengst voorlopig stil ligt en traceerbaar is op één adres.

Waarom de vraag hack-of-insider onopgelost blijft

Een on-chain bericht over beloningsonderhandelingen roept een nieuwe vraag op: het werd verzonden vanaf hetzelfde bevoegde adres dat bij het incident werd gebruikt. Volgens GoPlus zou het "ongewoon" zijn om dat adres te gebruiken om met een aanvaller te communiceren. Het bedrijf voegde eraan toe dat de echtheid van het bericht "nog in twijfel is".

Ondertussen omschreef het eigen bericht van het project op X de gebeurtenis als een systeemupgrade — een formulering die GoPlus "vaag" noemde. Het project heeft geen details gedeeld over de vermoede sleutelcompromittering, de transactie waarbij de rol werd ingetrokken, of de uitsplitsing van het verlies. GoPlus zei dat deze beperkte openbaarmaking "de vraag openlaat of gebruikers voldoende informatie hebben gekregen"n
Onopgelost blijft wie het bevoegde adres gebruikte en hoe de sleutel ervan werd verkregen. De bevindingen van GoPlus leggen de mechanismen van het verlies bloot, maar blijven de verantwoordelijkheid voor het verlies van ongeveer $12,5 miljoen toeschrijven achterwege. Vanaf hier zijn de markeringen om in de gaten te houden on-chain waarneembaar: elke beweging van de 14.394,92 BNB op 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, verificatie van de broncode van het 79AU-contract op BscScan, en of het project de details openbaart die het tot nu toe heeft achtergehouden.