Захист вартістю мільйони виявився безсилим проти одного ключа.

Поки 79thVault повідомляв користувачам про «оновлення системи», з пулу 79AU/USDT вже виводилися мільйони доларів. 7 жовтня привілейований гаманець, пов'язаний з проектом, використав функцію допоміжності в рамках контракту токена, щоб вивести 79AU з пулу PancakeSwap та продати токени назад за USDT. Початкові оцінки збитків сягнули 12,5 мільйонів доларів, і причина одразу викликала питання: чи був ключ скомпрометований, чи інсайдер отримав доступ?


GoPlus Security реконструювала послідовність подій, ідентифікувавши сім викликів, здійснених протягом години. Адреса з `OPERATOR_ROLE` перевела 2,01 мільйона 79AU на зовнішній гаманець; згодом токени були повернуті до того ж пулу — цього разу як активи для продажу — приблизно через 95 окремих транзакцій. Резерви USDT знизилися приблизно з 15,2 мільйона доларів до 3,9 мільйона доларів, а виручені кошти були конвертовані в 16 249 BNB. Усі операції відбувалися в ланцюжку BNB.


Механізм спирався на привілей, вбудований у контракт 79AU. Оператор міг виводити токени з певної адреси, включаючи торгову пару, а потім викликати `sync()`, щоб змусити пул прийняти оновлений стан резерву. Цей метод не вимагав компрометації самого PancakeSwap. Один адміністративний ключ фактично надавав можливість змінювати баланс пулу без вимоги до багатопідписного режиму чи затримки виконання.


Пізніше Bitquery підрахувала, що початкова оцінка не враховувала другого продавця. Згідно з реконструкцією Bitquery, дев'ять привілейованих операцій вивели 2,52 мільйона 79AU, тоді як два гаманці отримали 14,35 мільйона доларів у USDT з пулу та конвертували виручені кошти у 17 881 BNB. Другий продавець чекав близько п'яти годин, перш ніж вивести додаткові 1,75 мільйона доларів. Вихідний код 79AU не був перевірений на BscScan.

This case is particularly notable because approximately 79% of the pool's liquidity tokens had been burned—meaning that the standard withdrawal of this portion of the reserves was effectively blocked. However, a built-in privilege bypassed this safeguard, allowing the 79AU tokens themselves to be moved without the need to redeem LP tokens. The protection proved ineffective. Similar risks involving private keys have previously led to token compromises on the BSC (BNB Smart Chain).


The origin of the attack remains unclear. GoPlus suggested that an operator key might have been leaked, or that an insider with authorized access was involved. Further suspicion arose from on-chain negotiations: a message offering the return of the assets in exchange for a 10% reward was sent from the very same privileged address used to execute the withdrawal. According to Bitquery, the other party requested to keep 25%.


79thVault later acknowledged the attack, attributing the incident to weaknesses in access rights management. The team claims the attacker obtained an operator's private key; however, there is insufficient public data to independently verify how the compromise occurred or to rule out the possibility of an insider. The actual movement of funds and the execution of privileged function calls are confirmed by the blockchain.


On October 9, the story took an unexpected turn: 15,000 BNB—worth approximately $11 million—were returned to an address specified by the team. Based on an initial estimate of 16,249 BNB, this represents a recovery of about 92%; however, Bitquery’s calculation, based on a figure of 17,881 BNB, puts the recovered portion at approximately 84%. Similar agreements involving the return of stolen funds have been seen before following DeFi hacks, but the identity of the party involved and the fate of the remaining funds have not yet been disclosed.