Взлом 79th Vault: 15 000 BNB вернулись, а 1 249 BNB, оставленные атакующим, ушли в Tornado Cash

8 октября 79th Vault сообщил, что накануне его токен 79AU атаковали через слабое место в управлении правами доступа: атакующий получил приватный ключ оператора. Механику описала GoPlus. У адреса оператора, 0x019bD8ED017D11AF0eB24d28DCdd0f9930c85cA3, была роль, позволяющая перемещать 79AU с любого адреса. 7 октября с 07:25 до 08:19 UTC он сделал семь переводов, около 2,01 млн 79AU из пула PancakeSwap, на адрес 0xc3E90f78A918594a605d584887b2775F4b80A099. Этот кошелёк продал токены за USDT, а затем за BNB. PeckShield оценил потери в 16 249 BNB, около $12,51 млн, а позже сообщил, что 15 000 BNB возвращены.

Ниже то, что произошло с каждым BNB. Данные прочитаны нами 13 октября 2026 года.

7 октября в 10:10 UTC продававший кошелёк отправил всё, 16 249,12 BNB, на 0x629B368c6BF1a9f190e38f21235033FEcE8A6231. Через десять минут этот кошелёк отложил 1 302 BNB на 0x1e2A669EC4E54E3960588B35ECa6a075F31216A3. Днём он разослал около 555 BNB 27 платежами по 10–50 BNB на адреса, которые раньше не использовались, а в 14:58 UTC перевёл остаток, 14 394,92 BNB, на 0xa9537B40b02Af7Af8f1543aea3691992B2174F89.

Запасной кошелёк сделал то же в меньшем масштабе: 90 BNB восемью платежами на новые адреса тем же утром.

9 октября в 08:46 UTC запасной кошелёк вернул 912 BNB на кошелёк-хранилище. На нём стало 15 306,9 BNB. Через восемь минут, в 08:54 UTC, хранилище отправило ровно 15 000 BNB на 0x2BFcF0475e7B40cd68E91A7178Cf5E43262EB7b2.

Важна именно докидка. Атакующий не вернул то, что случайно осталось. Он перевёл деньги со второго кошелька, чтобы получилась круглая сумма: так выглядит выплата оговорённой суммы. 79th Vault публично предлагал урегулирование; условий мы не видели, а в блокчейне видны только суммы.

Кошелёк-получатель с тех пор провёл около 10 500 BNB через PancakeSwap и агрегатор обменов. 13 октября на нём оставалось 4 000 BNB.

Разница составляет 1 249,12 BNB, около $960 тыс. по курсу того дня. Она ушла тремя путями.

Tornado Cash в сети BNB Chain, около 606 BNB. 9 октября, через пять часов после возврата, кошелёк-хранилище внёс в Tornado Cash 296,6 BNB 41 депозитом. 10 октября запасной кошелёк внёс 309,8 BNB 47 депозитами. Оба кошелька теперь пусты.

Одноразовые депозитные адреса, около 645 BNB. 35 новых адресов не были кошельками самого атакующего. Девятнадцать из них, на 475 BNB, это депозитные адреса сервиса обмена между сетями: каждый получил BNB, контракт сервиса следующей транзакцией обменял их на USDC и отправил USDC в мост Relay. Ещё двенадцать, на 130 BNB, были собраны на один сборный кошелёк сервиса, который мы не опознали. Три платежа по 10 BNB прошли каждый через один промежуточный кошелёк на три депозитных адреса KuCoin, и ещё один тем же способом попал в сервис обмена.

10 BNB лежат нетронутыми на 0x789012DCb83FC8460a8B01400656936B9233B935 с 8 октября.

Один депозит на 15 BNB мы прошли целиком. В сети BNB Chain он превратился в 11 427 USDC. Мост Relay доставил 11 404 USDC в Ethereum на другой одноразовый адрес, где тот же сервис обменял их на эфир и выплатил 4,45 ETH.

Эфир пришёл на 0x4Cde5b334DB25c5817534f6664B25d9346810076. За четыре минуты 7 октября этот кошелёк получил четыре такие выплаты, всего 16,32 ETH. 10 октября с 02:05 до 02:15 UTC он внёс 16,1 ETH в Tornado Cash в Ethereum 17 депозитами.

То есть там, где мы смогли пройти путь, обе дороги ведут в один и тот же миксер. Куда доставлены остальные депозиты через сервис обмена, мы установить не смогли: сервис выдаёт новый адрес под каждый депозит в обеих сетях, а публичные записи моста были доступны нам не по всем из них.

В течение нескольких минут после каждого крупного перевода посторонние присылали на эти кошельки бесполезные токены с суммами, скопированными с настоящих переводов (15 000, 16 249,12), и нулевые транзакции с адресов, у которых начало и конец совпадают с настоящими контрагентами. Это отравление адресов, рассчитанное на того, кто следующим скопирует адрес из истории. В списке токенов или транзакций этих кошельков «15 000» уходит четыре раза. Только один раз это BNB.

Мы отметили в своей базе 10 адресов как принадлежащие атакующему: продававший кошелёк, три кошелька, на которых лежали BNB, кошелёк с отложенными 10 BNB, четыре промежуточных кошелька и кошелёк в Ethereum. Раньше ни один из них отмечен не был. Мы не отмечали адрес оператора, который принадлежит проекту и был использован с украденным ключом, кошелёк, получивший возврат, депозитные адреса сервиса обмена и KuCoin, мост и Tornado Cash.

KuCoin может установить, кто открыл три депозитных адреса. Чтобы проверить адрес самостоятельно, воспользуйтесь проверкой адреса.

Она не говорит, кто атакующий и был ли он посторонним. Она не утверждает, что 79th Vault, KuCoin, Relay, сервис обмена или PancakeSwap сделали что-либо незаконное. Механика атаки и первые адреса принадлежат GoPlus и PeckShield; о возврате первым сообщил PeckShield. Учёт всех 16 249,12 BNB, докидка перед возвратом и путь оставленных средств наши, данные прочитаны 13 октября 2026 года.