79thVault потерял $12,5 млн после атаки через привилегированную функцию

Важная новость наделала шума в экосистеме блокчейна. DeFi-проект 79thVault в сети BNB Chain потерял около $12,5 млн после серии подозрительных операций с токеном 79AU. Эксперты GoPlus Security не исключили компрометацию ключа или действия инсайдера. По данным специалистов, злоумышленник получил доступ к привилегированной функции контракта 79AU и вывел из пула ликвидности около 2,01 млн токенов.

Их продажа позволила получить примерно 16 249 BNB, или $12,5 млн. Мониторинговые сервисы зафиксировали аномальную активность кошелька проекта. Обычно с адреса выполнялись небольшие переводы в пул вознаграждений, однако во время инцидента с него провели семь транзакций — от 10 000 до 500 000 79AU за операцию.

Динамика рынка

Переводы совпали с резким скачком цены актива. По данным GoPlus, контракт 79AU содержит функцию, доступную кошельку с правами OPERATOR_ROLE, которые позволяют перемещать токены с выбранного адреса и затем синхронизировать резервы пула. Роль принадлежала адресу, который во время инцидента выполнил семь привилегированных операций.

При этом, как отмечают исследователи, для управления правами механизмы мультиподписи и временной блокировки не использовались. После атаки привилегии оператора были отозваны. GoPlus также обращает внимание на то, что исходный код контракта не верифицирован на BscScan.

В результате пользователям сложнее самостоятельно проверить логику привилегированных функций. После продажи 79AU полученные BNB были консолидированы на нескольких адресах. На одном из них оставалось около 14 395 BNB стоимостью $11 млн.

Влияние на рынки

Еще 30 BNB злоумышленник позднее перевел на биржу KuCoin. На момент публикации дальнейшего движения основной части средств не зафиксировано. Проект также направил в блокчейн сообщение с предложением вернуть средства за вознаграждение в 10% от суммы.

Окончательная причина инцидента пока не установлена. Версия с утечкой приватного ключа объясняет необычную активность операционного кошелька, однако исследователи не исключают, что доступ мог использовать человек внутри проекта. Дополнительные вопросы вызывает сообщение о «переговорах» с предполагаемым злоумышленником.

По данным GoPlus, оно было отправлено с того же привилегированного адреса, который использовался при выводе средств. Это может быть обычной попыткой связаться с атакующим, однако исследователи призывают учитывать возможность того, что сообщение не подтверждает личность отправителя.

Эта перемена продолжает формировать ландшафт цифровых активов.