BNB Chain-проект 79thVault потерял около $12,5 млн после несанкционированного использования привилегированного администраторского адреса — инцидент затронул почти 10 000 держателей и оставил главный вопрос без ответа: это был взлом или инсайдерская атака?

Компания GoPlus Security изучила случай на цепочке, отследив движение средств из пула ликвидности 79AU/USDT в кошельки, где сейчас находится выручка. Её анализ оставляет два возможных объяснения — утечка ключа оператора или инсайдерские действия. Проект не подтвердил ни одно из них, а в публичном заявлении упомянул только обновление системы.

Что показывают данные на цепочке о роли OPERATOR_ROLE

GoPlus Security изложила свои выводы в посте на X под названием «Взлом или инсайдер? Анализ безопасности потери $12,5 млн в 79thVault», опубликованном 8 октября 2026 года. Компания сообщила, что контракт 79AU содержит функцию, доступную только роли OPERATOR_ROLE. По словам GoPlus, «риск централизованного контроля был высоким».

Взлом или инсайдер? Анализ безопасности потери $12,5 млн в 79thVault

BNB Chain-проект @79thVault потерял около $12,5 млн после несанкционированного использования привилегированного администраторского адреса. Пострадали почти 10 000 держателей. Утечка ключа оператора и инсайдерские действия остаются… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) October 8, 2026

Вызовы на цепочке показывают, что ограниченная функция может перемещать 79AU с выбранного адреса любому получателю. В данном инциденте она вывела токены из пула 79AU/USDT, а затем вызвала sync() для обновления записанных резервов пула. GoPlus написала, что «эффект подобен бэкдору». Описание функции основано на наблюдаемых вызовах на цепочке; исходный код контракта остаётся непроверенным на BscScan, поэтому опубликованного кода для сравнения с наблюдаемым поведением нет.

Роль OPERATOR_ROLE принадлежала адресу 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3. Об отсутствующих мерах защиты GoPlus написала: «Нет мультисига. Нет таймлока». Мультисиг-подтверждение и таймлоки — стандартные меры защиты для привилегированных ролей в контрактах: первая требует согласия нескольких держателей ключей на чувствительное действие, второй откладывает исполнение достаточно долго, чтобы пользователи и сервисы мониторинга успели отреагировать. Их отсутствие оставило один ключ с односторонней властью над функцией, способной перемещать 79AU с любого адреса.

С 07:25 до 08:19 UTC этот адрес выполнил семь привилегированных вызовов, все — в течение примерно одного часа. GoPlus назвала утечку ключа оператора и инсайдера двумя возможными источниками активности. Вызовы переместили 2,01 млн 79AU на адрес 0xc3E90f78A918594a605d584887b2775F4b80A099, при этом размер отдельных переводов варьиров от 10 000 до 500 000 токенов. Переводы совпали с резким ростом цены 79AU. После инцидента роль была отозвана.

Прослеживание средств

GoPlus отследила весь путь средств от пула ликвидности до финальных кошельков, восстановив каждый шаг по записям на цепочке. Принимающий адрес продал 79AU в пул и вывел USDT, а затем конвертировал выручку в 16 249 BNB. Эти средства были консолидированы на адресе 0x629B368c6BF1a9f190e38f21235033FEcE8A6231.

За этим последовало несколько более мелких переводов по 10–15 BNB каждый, цель которых неясна. Большая часть средств сейчас находится на адресе 0xa9537B40b02Af7Af8f1543aea3691992B2174F89. На этом адресе хранится 14 394,92 BNB на сумму около $11,03 млн, и, по данным GoPlus, дальнейшего движения пока не произошло — то есть основная часть выручки остаётся неподвижной и отслеживаемой на одном адресе.

Почему вопрос о взломе или инсайдере остаётся открытым

Сообщение о переговорах о бонусе на цепочке добавляет ещё один вопрос: оно было отправлено с того же привилегированного адреса, который использовался в инциденте. По словам GoPlus, использование этого адреса для связи с атакующим «выглядело бы необычно». Компания добавила, что подлинность сообщения «всё ещё под вопросом».

Тем временем сам проект в посте на X охарактеризовал событие как обновление системы — формулировку, которую GoPlus назвала «расплывчатой». Проект не раскрыл деталей о предполагаемой компрометации ключа, транзакции отзыва роли или структуре потерь. GoPlus отметила, что такое ограниченное раскрытие информации «оставляет открытым вопрос, получили ли пользователи достаточно информации».

Нерешённым остаётся вопрос о том, кто использовал привилегированный адрес и как был получен его ключ. Выводы GoPlus устанавливают механику потерь, но не позволяют установить ответственность за потерю около $12,5 млн. Далее стоит наблюдать за наблюдаемыми маркерами на цепочке: любым движением 14 394,92 BNB на адресе 0xa9537B40b02Af7Af8f1543aea3691992B2174F89, верификацией исходного кода контракта 79AU на BscScan и тем, раскроет ли проект удерживаемые до сих пор детали.