Compromiso de la clave del operador de 79thVault

El 7 de octubre de 2026, 79thVault perdió aproximadamente 12,5 millones de dólares después de que un atacante obtuviera el control de la clave privada del operador del proyecto y abusara de un rol privilegiado en el contrato del token 79AU para drenar su liquidez. El equipo afirmó que la clave quedó expuesta por un fallo en su gestión de permisos de cuenta; los investigadores no pudieron descartar de inmediato la participación de un infiltrado.

Qué ocurrió

La wallet comprometida tenía el permiso OPERATOR_ROLE sobre el token 79AU. El atacante retiró unos 2,01 millones de 79AU del pool de PancakeSwap del proyecto y llamó a sync() para forzar al pool a releer sus reservas manipuladas. Luego ejecutó alrededor de 95 swaps vendiendo 79AU de nuevo en el par 79AU/USDT, drenando la reserva de USDT del pool de unos 15,2 millones a 3,9 millones de dólares y retirando unos 16.249 BNB (~12,5 millones de dólares). Los monitores on-chain señalaron un grupo de transferencias sospechosas que enviaron tokens a una dirección externa durante aproximadamente una hora.

Consecuencias

• El permiso del operador fue revocado y las operaciones del contrato afectadas se parchearon tras el drenaje.
• Los rastreadores de seguridad (PeckShield, CertiK) informaron de que la mayor parte de los BNB robados permaneció en una dirección asociada.
• El atacante devolvió posteriormente 15.000 BNB (~11,1 millones de dólares) a una wallet designada por el equipo, y 79thVault propuso un acuerdo white-hat en el marco de su programa de recompensas; las negociaciones continuaron después.

Por qué importa

El drenaje de 79thVault es un caso de manual de compromiso de una clave de rol privilegiado: no se explotó ningún error del contrato, pero una sola clave de operador expuesta con autoridad de tipo acuñación/drenaje sobre un pool activo bastó para vaciarlo — el mismo modo de fallo detrás de Ankr/Helio y Gala Games. También refuerza un tema recurrente del catálogo: cuando los fondos permanecen en una dirección identificable y sin blanquear, el desenlace de devolución por recompensa domina cada vez más — como en 1inch. Los roles de operador y administrador deberían estar detrás de multisig o timelocks, no de una única hot key.