79thVault Kompromittierung des Betreiber-Schlüssels

Am 7. Oktober 2026 verlor 79thVault etwa 12,5 Millionen US-Dollar, nachdem ein Angreifer die Kontrolle über den privaten Schlüssel des Projektbetreibers erlangt und eine privilegierte Rolle im 79AU-Token-Vertrag missbraucht hatte, um dessen Liquidität abzuziehen. Das Team erklärte, der Schlüssel sei durch einen Fehler in seiner Kontoberechtigungsverwaltung offengelegt worden; eine Beteiligung von Insidern konnten die Ermittler zunächst nicht ausschließen.

Was geschah

Die kompromittierte Wallet besaß die Berechtigung OPERATOR_ROLE am 79AU-Token. Der Angreifer verschob rund 2,01 Millionen 79AU aus dem PancakeSwap-Pool des Projekts und rief sync() auf, um den Pool zu zwingen, seine manipulierten Reserven neu einzulesen. Anschließend führte er etwa 95 Swaps aus, bei denen 79AU zurück in das Paar 79AU/USDT verkauft wurde, wodurch die USDT-Reserve des Pools von etwa 15,2 Millionen auf 3,9 Millionen US-Dollar fiel und rund 16.249 BNB (~12,5 Mio. USD) ausgezahlt wurden. On-Chain-Monitore meldeten eine Reihe verdächtiger Transfers, die über etwa eine Stunde Token an eine externe Adresse schickten.

Folgen

• Die Betreiber-Berechtigung wurde widerrufen und die betroffenen Vertragsoperationen nach dem Abzug gepatcht.
• Sicherheitstracker (PeckShield, CertiK) berichteten, dass der Großteil der gestohlenen BNB auf einer zugehörigen Adresse verblieb.
• Der Angreifer gab anschließend 15.000 BNB (~11,1 Mio. USD) an eine vom Team benannte Wallet zurück, und 79thVault schlug im Rahmen seines Bug-Bounty-Programms eine White-Hat-Einigung vor; die Verhandlungen wurden danach fortgesetzt.

Warum es wichtig ist

Der 79thVault-Abzug ist ein Musterbeispiel für eine Kompromittierung eines privilegierten Rollenschlüssels: Es wurde kein Vertragsfehler ausgenutzt, aber ein einziger offengelegter Betreiber-Schlüssel mit mint-/drain-artigen Befugnissen über einen aktiven Pool genügte, um ihn zu leeren — dieselbe Fehlerart wie bei Ankr/Helio und Gala Games. Er bestätigt auch ein wiederkehrendes Katalogthema: Wenn Mittel auf einer identifizierbaren, ungewaschenen Adresse bleiben, dominiert zunehmend der Bounty-Rückgabe-Ausgang — wie bei 1inch. Betreiber- und Admin-Rollen sollten hinter Multisig oder Timelocks liegen, nicht hinter einem einzelnen Hot Key.