Projekt 79thVault działający na BNB Chain stracił około 12,5 miliona USD po nieuprawnionym użyciu uprzywilejowanego adresu administratora — incydent, który dotknął blisko 10 000 posiadaczy tokenów i pozostawił bez odpowiedzi kluczowe pytanie: czy był to hack, czy działanie osoby z wewnątrz?

Firma bezpieczeństwa GoPlus Security przeanalizowała sprawę on-chain, śledząc przepływ środków z pary płynności 79AU/USDT do portfeli, w których obecnie znajdują się uzyskane fundusze. Jej analiza pozostawia otwarte dwa wyjaśnienia — wyciek klucza operatora lub działanie osoby z wewnątrz. Projekt nie potwierdził żadnego z nich, a jego publiczne oświadczenie wspominało jedynie o aktualizacji systemu.

Co dane on-chain ujawniają o roli operatora

GoPlus Security przedstawiła swoje ustalenia w wpisie na X zatytułowanym „Hack or insider? Security analysis of the $12.5M loss at 79thVault”, opublikowanym 8 października 2026 roku. Firma podała, że kontrakt 79AU zawiera funkcję ograniczoną do roli OPERATOR_ROLE. Według GoPlus „ryzyko scentralizowanej kontroli było wysokie”.

Hack or insider? Security analysis of the $12.5M loss at 79thVault

Projekt na BNB Chain @79thVault stracił około 12,5 mln USD po nieuprawnionym użyciu uprzywilejowanego adresu administratora. Dotkniętych jest blisko 10 000 posiadaczy. Zarówno wyciek klucza operatora, jak i działanie osoby z wewnątrz to wciąż… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) October 8, 2026

Wywołania on-chain pokazują, że ograniczona funkcja może przenosić 79 z wybranego adresu do dowolnego odbiorcy. W tym incydencie pobrała tokeny z pary 79AU/USDT, a następnie wywołała sync(), aby zaktualizować zapisane rezerwy pary. GoPlus napisała, że „efekt przypomina backdoor”. Opis funkcji opiera się na zaobserwowanych wywołaniach on-chain; kod źródłowy kontraktu pozostaje niezweryfikowany na BscScan, więc nie ma opublikowanego kodu do porównania z zaobserwowanym zachowaniem.

Rolę OPERATOR_ROLE sprawował adres 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. O brakujących zabezpieczeniach GoPlus napisała: „No multisig. No timelock”. Wielopodpisowe zatwierdzanie i timelocki to standardowe zabezpieczenia dla uprzywilejowanych ról w kontraktach — pierwsze wymaga zatwierdzenia wrażliwej operacji przez kilku posiadaczy kluczy, a drugie opóźnia wykonanie na tyle długo, aby użytkownicy i usługi monitorujące mogły zareagować. Ich brak pozostawił pojedynczemu kluczowi jednostronną władzę nad funkcją zdolną do przenoszenia 79AU z dowolnego adresu.

Między 07:25 a 08:19 UTC adres ten wykonał siedem uprzywilejowanych wywołań, wszystkie skoncentrowane w ciągu około godziny. GoPlus wymieniła wyciek klucza operatora i osobę z wewnątrz jako dwa możliwe źródła tej aktywności. Wywołania te przeniosły 2,01 mln 79AU na adres 0xc3E90f78A918594a605d584887b2775F4b80A099, a pojedyncze transfery mieściły się w przedziale od 10 000 do 500 000 tokenów. Transfery zbiegły się z gwałtownym wzrostem ceny 79AU. Rola została cofnięta po incydencie.

Śledzenie środków

GoPlus prześledziła pełną ścieżkę od pary płynności do końcowych portfeli, odtwarzając każdy krok na podstawie zapisów on-chain. Adres odbiorczy sprzedał 79AU do puli i opróżnił USDT, a następnie zamienił uzyskane środki na 16 249 BNB. Te fundusze zostały skonsolidowane pod adresem 0x629B368c6BF1a9f190e38f21235033FEcE8A6231.

Po tym nastąpiło kilka mniejszych transferów po 10–15 BNB każdy, a ich cel jest niejasny. Większość środków znajduje się obecnie pod adresem 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. Adres ten przechowuje 14 394,92 BNB, warte około 11,03 miliona USD, a GoPlus podała, że jak dotąd nie odnotowano dalszych ruchów — co oznacza, że większość uzyskanych środków pozostaje na razie nieruchoma i śledzalna na jednym adresie.

Dlaczego pytanie o hack lub działanie od wewnątrz pozostaje otwarte

Kolejne pytanie rodzi wiadomość negocjująca nagrodę wysłana on-chain: została nadana z tego samego uprzywjowanego adresu, który został użyty w incydencie. Według GoPlus użycie tego adresu do komunikacji z atakującym „byłoby nietypowe”. Firma dodała, że autentyczność wiadomości „jest nadal kwestionowana”.

Tymczasem własny wpis projektu na X opisał zdarzenie jako aktualizację systemu — sformułowanie, które GoPlus nazwała „niejasnym”. Projekt nie przekazał szczegółów dotyczących podejrzewanej kompromitacji klucza, transakcji cofnięcia roli ani podziału straty. GoPlus stwierdziła, że tak ograniczone ujawnienie informacji „pozostawia otwarte pytanie, czy użytkownicy otrzymali wystarczające informacje”.

Nierozstrzygnięta pozostaje kwestia, kto użył uprzywilejowanego adresu i w jaki sposób uzyskano jego klucz. Ustalenia GoPlus wyjaśniają mechanikę straty, ale nie przypisują odpowiedzialności za około 12,5 miliona USD strat. Na ten moment wskaźniki do obserwacji są widoczne on-chain: ewentualne ruchy 14 394,92 BNB przechowywanych pod adresem 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, weryfikacja kodu źródłowego kontraktu 79AU na BscScan oraz to, czy projekt ujawni dotychczas wstrzymywane szczegóły.