Обновлённый ончейн-анализ показал, что ущерб от предполагаемого эксплойта 79thVault оказался существенно больше первоначальных оценок: через привилегированные транзакции из пула ликвидности PancakeSwap было выведено 2,52 млн токенов 79AU, а общий объём извлечённых средств составил около $14,35 млн в USDT. Первоначально сообщалось о семи переводах на 2,01 млн 79AU и примерно $12,5 млн.
По данным Bitquery, реконструкция выявила девять привилегированных выводов с участием трёх кошельков-получателей. Второй продавец около пяти часов удерживал полученные 500 тыс. 79AU и лишь затем конвертировал их, добавив к убыткам ещё около $1,75 млн. Первый продавец, обозначенный как Seller A, вывел примерно $12,6 млн в USDT, из-за чего резервы стейблкоина в пуле сократились с $15,2 млн до $3,89 млн. На момент анализа около 17 881 BNB, связанных с продажами, оставались в трёх кошельках, часть средств уже ушла в сервис кросс-чейн-свопов.
Инцидент начался 7 октября в 07:25 UTC. Операционный кошелёк 79thVault использовал привилегированную функцию токена, чтобы выводить 79AU из пула PancakeSwap без покупки. Это не похоже ни на обычный дамп токенов, ни на классическую атаку с флеш-кредитом: продаваемые активы сначала были изъяты из пула с помощью административной функции. Проект отозвал соответствующие права у скомпрометированного кошелька вскоре после последнего подозрительного вывода, но полноценного технического разбора пока не публиковал. В публичном сообщении в четверг говорилось лишь о «системном обновлении», затронувшем часть функций интерфейса и операций с активами.
Ключевой вопрос — был ли украден операторский ключ. Все девять подозрительных выводов подписаны горячим кошельком 79thVault, однако блокчейн-данные не позволяют установить, действовал ли внешний злоумышленник или лицо, уже имевшее доступ. Если ключ был скомпрометирован, речь идёт о провале управления ключами, а не об уязвимости смарт-контракта. Похожая проблема ранее привела к потере более $5 млн у Wasabi Protocol. В то же время валидная подпись не всегда доказывает кражу приватного ключа: расследование Bitget показало, что компрометация инфраструктуры авторизации может давать внешне корректные транзакции без раскрытия подписывающих ключей.
Bitquery также отметил, что привилегированная функция не была разовым экстренным механизмом: операционный кошелёк использовал её сотни тысяч раз с июня для перемещения 79AU из торгового пула, в основном в контракты программы вознаграждений. Это указывает на структурную проблему безопасности протокола, который позиционирует свою казначейскую архитектуру как автоматизированную и децентрализованную. Удаление скомпрометированного кошелька не устранило возможность полностью: первоначальный деплоер сохранил эквивалентное разрешение, а мультисиг-администрация выдала роль новому кошельку уже 8 октября.
Переговоры о возврате средств идут в ончейне. Проект предложил получателю 10% вознаграждения в обмен на возврат оставшихся активов, однако кошелёк с большей частью BNB выдвинул встречное предложение — оставить 25% и прекратить юридические преследования. Существенного возврата на момент реконструкции не зафиксировано.
Отдельно 9 октября появилось сообщение об эксплойте BitBay: по предварительным данным, уязвимость функции вывода в хранилище позволила атакующему вывести около $14 тыс. при нулевой ликвидности. Инцидент, о котором сообщили аналитики @SlowMist_Team, подчёркивает сохранение критических рисков в DeFi-протоколах и может усилить давление на проекты в части аудита и ограничения выплат.
