Взлом 79thVault: $12,5 млн вывели из пула через админский ключ

На BNB Chain случился взлом 79thVault: DeFi-проект потерял около $12,5 млн, когда 7 октября кошелёк с административными правами вытащил из пула 2,01 млн токенов 79AU и продал их обратно в тот же пул. Ошибки в коде здесь, судя по всему, нет. Аналитики говорят о двух версиях: либо утёк приватный ключ оператора, либо это сделал кто-то изнутри. Сам проект пока пишет только про «обновление системы».

Что произошло

По данным The Crypto Times, в контракте токена 79AU есть функция, доступная только адресам с ролью OPERATOR_ROLE. Она позволяет забрать любое количество 79AU с выбранного адреса, отправить их кому угодно и затем вызвать sync() — команду, которая заставляет пул пересчитать свои балансы.

В роли «выбранного адреса» оказалась сама торговая пара 79AU/USDT на PancakeSwap. С 07:25 до 08:19 UTC 7 октября (10:25–11:19 МСК) горячий кошелёк оператора семь раз вызвал эту функцию. Транши были такими: 10 000, 100 000, 100 000, 300 000, 500 000, 500 000 и 500 000 токенов. Всё ушло на один обычный кошелёк. До этого оператор делал только мелкие переводы в пул наград.

Дальше получатель продал 79AU обратно в ту же пару примерно за 95 свопов. Поскольку токены вынули из пула бесплатно, каждая продажа вытаскивала настоящие USDT. Итог — 16 249 BNB, около $12,5 млн по тогдашнему курсу. Через 41 секунду после этого оператор отправил на тот же адрес ещё 3,79 BNB своих средств. Мониторинговый сервис Defimon Alerts считает, что такая синхронность указывает на один и тот же контроль над ключом и деньгами — или на инсайдера. Ещё 500 000 79AU ушли на адрес, начинающийся с 0xf219d073. После переводов роль оператора отозвали.

Где деньги сейчас

GoPlus Security, по данным The Crypto Times, видела около 14 394,92 BNB (примерно $11,03 млн) на одном консолидационном адресе — это около 89% выведенного. PeckShield заметила депозит 30 BNB на KuCoin, связанный с инцидентом. Публично KuCoin не сообщала, заморозила ли она эти средства.

На адрес получателя пришло ончейн-сообщение с предложением вернуть деньги за 10% вознаграждения. Но, как отмечают и Defimon Alerts, и GoPlus, это сообщение отправили с того же ключа оператора, которым выводили средства. Так что само предложение не доказывает, кто сейчас этим ключом владеет.

«79VAULT SYSTEM UPGRADE: наша техническая команда проводит оптимизацию системы», — написал проект в X 8 октября, не упомянув сам инцидент.

ForkLog уточняет: команда предупредила, что часть функций сайта и операций с активами может быть временно недоступна, но не прокомментировала ни инцидент, ни размер ущерба, ни версии аналитиков.

Почему взлом 79thVault — это не про сложный хак

Здесь не было хитрой атаки на логику протокола. Был один ключ, который мог двигать токены прямо из пула, и никакой страховки вокруг него. GoPlus указывает, что мультиподпись (когда транзакцию должны подтвердить несколько ключей) и таймлок (задержка перед чувствительными действиями, чтобы пользователи успели среагировать) не использовались. А раз код не верифицирован на BscScan, снаружи никто не мог прочитать, что именно умеет эта функция.

The Crypto Times напоминает, что это не первый такой случай на BNB Chain в этом году: в июле токен, связанный с Crypto DAO, потерял около $8,2 млн из-за ошибки в контроле доступа. А по данным PeckShield, которые приводит ForkLog, потери от взломов в криптоиндустрии в сентябре превысили $768 млн — худший показатель с начала года.

Что это значит для тебя

Если держишь токены маленьких DeFi-проектов, проверь три вещи. Первое — верифицирован ли контракт в эксплорере. Если нет, ты не знаешь, какие кнопки есть у команды. Второе — есть ли у админских ролей мультиподпись и таймлок. Третье — может ли какая-то роль забирать токены из пула ликвидности. Взлом 79thVault показывает: одной такой функции хватает, чтобы за час опустошить пул.

Если у тебя есть 79AU или депозит в проекте, следи только за официальным аккаунтом 79thVault в X и не подписывай ничего на сторонних сайтах. После любого громкого инцидента в соцсетях появляются «страницы компенсаций» и «формы возврата», которые просят подключить кошелёк. Проект пока не объявлял никаких выплат, оценки потерь пользователей или плана восстановления, так что любые такие ссылки стоит считать подозрительными, пока команда сама их не подтвердит.

Как самому проверить контракт перед покупкой, мы расписали в гайде как проверить адрес контракта токена. А про то, как защищать собственные ключи, — в разборе взлома Frogman.

FAQ

Сколько потерял 79thVault?

Около $12,5 млн: из пула вывели 2,01 млн 79AU, продали их и получили 16 249 BNB.

Взлом 79thVault — это хакер или инсайдер?

Пока неизвестно. Defimon Alerts и GoPlus допускают и утечку приватного ключа оператора, и действия изнутри. Официального отчёта от проекта нет.

Можно ли вернуть деньги?

Около 89% BNB лежат на одном адресе, ещё 30 BNB ушли на KuCoin. Предложение вернуть средства за 10% отправлено, но о возврате пока ничего не сообщалось.

Что сделал проект?

Отозвал роль оператора и объявил «обновление системы». Подробного отчёта, который объяснил бы взлом 79thVault, и оценки потерь на момент публикации нет.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.