BNB Chain 项目 79thVault 因一个特权管理员地址遭未经授权使用而损失约 1,250 万美元，此事件影响近 10,000 名持有人，并留下一个未解的核心问题：这是骇客攻击，还是内部人员所为？

安全公司 GoPlus Security 在链上检视了此案，追踪资金从 79AU/USDT 流动性池到目前所得资金所在钱包的流向。其分析留下两种可能的解释——运营商密钥泄露，或内部人员活动。项目方两者皆未证实，其公开声明仅提及一次系统升级。

链上数据显示的 OPERATOR_ROLE 情况

GoPlus Security 于 2026 年 10 月 8 日在 X 上的一篇题为《是骇客还是内部人员？79thVault 1,250 万美元损失的安全分析》的帖子中说明了其发现。该公司表示，79AU 合约有一个仅限 OPERATOR_ROLE 调用的函数。GoPlus 指出，“中心化控制风险很高”。

是骇客还是内部人员？79thVault 1,250 万美元损失的安全分析

BNB Chain 项目 @79thVault 因特权管理员地址遭未经授权使用而损失约 1,250 万美元。近 10,000 名持有人受影响。运营商密钥泄露与内部人员活动均仍是…… pic.twitter.com/eXIb3YwClW

— GoPlus Security (@GoPlusSecurity) October 8, 2026

链上调用显示，该受限函数可将 79AU 从任意指定地址转移至任意接收方。在此次事件中，它从 79AU/USDT 流动性池中抽取代币，随后调用 sync() 更新该交易对记录的储备量。GoPlus 写道，其“效果如同后门”。该公司对这一函数的描述基于观察到的链上调用；合约源代码在 BscScan 上尚未经过验证，因此没有已发布的代码可与观察到的行为进行比对。

OPERATOR_ROLE 由地址 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3 持有。关于缺失的防护措施，GoPlus 写道：“没有多签。没有时间锁。”多签审批与时间锁是特权合约角色的标准防护措施——前者要求多个密钥持有者批准敏感操作，后者则延迟执行，让用户与监控服务有足够时间反应。两者的缺失使单一密钥拥有对可将 79AU 从任意地址转出的函数的单方面控制权。

在 UTC 时间 07:25 至 08:19 之间，该地址执行了七次特权调用，全部集中在约一小时内。GoPlus 列出运营商密钥泄露与内部人员为此活动的两种可能来源。这些调用将 201 万枚 79AU转移至 0xc3E90f78A918594a605d584887b2775F4b80A099，单笔转账金额从 10,000 到 500,000 枚代币不等。这些转账恰逢 79AU 价格急剧上涨。该角色在事件发生后已被撤销。

追踪资金流向

GoPlus 追踪了从流动性池到最终钱包的完整路径，并根据链上记录重建了每一步。接收地址将 79AU 卖入流动性池并抽走 USDT，随后将所得兑换为 16,249 BNB。这些资金被归集至 0x629B368c6BF1a9f190e38f21235033FEcE8A6231。

随后出现数笔每笔 10 至 15 BNB 的较小转账，其用途不明。大部分资金目前位于 0xa9537B40b02Af7Af8f1543aea3691992B2174F89。该地址持有 14,394.92 BNB，价值约 1,103 万美元，GoPlus 表示目前尚未有进一步变动——这意味着大部分所得资金目前仍静置且可追溯于单一地址。

为何“骇客还是内部人员”的问题仍未解决

一条链上赏金协商讯息又引出另一个问题：它是从事件中使用的同一个特权地址发出的。GoPlus 表示，使用该地址与攻击者沟通“将很不寻常”。该公司补充说，该讯息的真实性“仍存疑”。

与此同时，项目方自己在 X 上的帖子将此事件描述为系统升级——GoPlus 称此措辞“含糊”。项目方尚未透露疑似密钥泄露、角色撤销交易或损失明细的细节。GoPlus 表示，如此有限的披露“让外界无法确定用户是否已获得足够的信息”。

尚未解决的是：谁使用了该特权地址，以及其密钥是如何取得的。GoPlus 的发现厘清了损失的机制，但未就约 1,250 万美元的损失归属责任。接下来可观察的链上指标包括：0xa9537B40b02Af7Af8f1543aea3691992B2174F89 所持 14,394.92 BNB 的任何变动、79AU 合约源代码在 BscScan 上的验证情况，以及项目方是否会披露其至今 withheld 的细节。