Carteira privilegiada drena US$ 12,5 milhões do pool do 79thVault na BNB Chain

O protocolo de finanças descentralizadas 79thVault, na BNB Chain, perdeu cerca de US$ 12,5 milhões na manhã de 7 de outubro, quando uma carteira com permissões administrativas sobre o token 79AU retirou 2,01 milhões de moedas do próprio par 79AU/USDT da PancakeSwap, a maior corretora descentralizada da rede, e as vendeu de volta no mesmo pool.

Entre 7h25 e 8h19 UTC, a carteira que detinha a função OPERATOR_ROLE fez sete chamadas a uma função do contrato que permite mover qualquer quantidade de 79AU de um endereço escolhido para qualquer destinatário, chamada em seguida para atualizar os saldos registrados no pool. As transferências saíram em parcelas de 10 mil, 100 mil, 100 mil, 300 mil e três lotes de 500 mil tokens, todas para a mesma carteira externa.

Como os tokens já haviam sido retirados sem pagamento, cada uma das cerca de 95 vendas extraiu USDT real do pool, e as reservas caíram de aproximadamente US$ 15,2 milhões para US$ 3,9 milhões. O produto foi convertido em 16.249 BNB, o token nativo da BNB Chain, avaliados em cerca de US$ 12,5 milhões, e levado a outro endereço. Setenta e um segundos depois, a própria carteira do operador enviou mais 3,79 BNB seus para o mesmo destino.

A CertiK classificou a atividade como exploit suspeito por função privilegiada. O serviço de monitoramento Defimon Alerts foi além e apontou comprometimento de chave privada ou ação interna. A mesma empresa observa que uma mensagem on-chain oferecendo recompensa de 10% pela devolução do restante dos fundos partiu da chave do operador que fez as transferências, o que, por si só, não confirma quem controla a chave agora.

A GoPlus Security informou que cerca de 14.394,92 BNB, equivalentes a aproximadamente US$ 11,03 milhões, permaneciam parados em um único endereço de consolidação na última verificação da empresa, cerca de 89% do total retirado, sem movimentação relevante. A PeckShield identificou um depósito de 30 BNB na corretora KuCoin ligado ao incidente, e a KuCoin não disse publicamente se congelou os valores.

A permissão foi revogada depois das transferências. O 79thVault publicou em sua conta no X um aviso de atualização de sistema, sem relatório detalhado do incidente, sem reconciliação de perdas e sem confirmar o comprometimento da chave. O código-fonte do contrato 79AU não está verificado no BscScan. No momento das transferências, a função de operador ficava com um único endereço, sem multisig nem timelock visíveis.

O episódio ocorre depois de outras perdas na BNB Chain neste ano, que vieram de controles de permissão frágeis e não de ataques sofisticados ao código do contrato. Ainda não está publicamente confirmado como o controle da chave do operador foi obtido, se a atividade veio de um atacante externo ou de um insider, nem se alguma parte dos 16.249 BNB foi recuperada.