79thVault pierde al menos US$12.5 millones: cómo una clave privilegiada puso en riesgo un pool DeFi
El incidente evidencia cómo una clave con permisos operativos puede drenar un pool DeFi. Las estimaciones difieren según la reconstrucción transaccional.
Hechos & señales
Hechos reportados
- Bitquery reconstruyó nueve retiros y aproximadamente US$14.35 millones de USDT extraídos por dos wallets.
- Las primeras reconstrucciones estimaron unos US$12.5 millones; son alcances diferentes, no un monto final independiente único.
Lo observado
- Los fondos se convirtieron principalmente en BNB. La explicación de una clave comprometida se atribuye al proyecto en la cobertura; no se dispone de un postmortem técnico oficial completo.
El ataque contra 79thVault esta semana dejó una lección que va mucho más allá del protocolo afectado: un proyecto DeFi puede tener contratos funcionando exactamente como fueron diseñados y, aun así, estar expuesto a pérdidas millonarias si una sola clave privada controla permisos suficientemente poderosos.
El 7 de octubre, una wallet con privilegios operativos sobre el token 79AU comenzó a retirar tokens del pool 79AU/USDT de PancakeSwap en BNB Chain. El primer análisis ampliamente difundido identificó siete movimientos que extrajeron aproximadamente 2.01 millones de 79AU. Los tokens fueron vendidos nuevamente contra el mismo pool en decenas de operaciones y los fondos resultantes terminaron convertidos principalmente en BNB. Esa reconstrucción calculó una salida de aproximadamente 16,249 BNB, valorados entonces en unos US$12.5 millones, mientras las reservas de USDT del pool bajaron aproximadamente de US$15.2 millones a US$3.9 millones.
Posteriormente apareció una diferencia importante en las cifras. Bitquery reconstruyó el historial completo de transacciones y encontró nueve retiros privilegiados que habrían movilizado 2.52 millones de 79AU, además de un segundo vendedor no incluido en las primeras estimaciones. Con esa metodología, Bitquery calculó que dos wallets extrajeron conjuntamente unos US$14.35 millones en USDT, terminando con aproximadamente 17,881 BNB distribuidos entre varias direcciones.
Por esa razón, la forma periodísticamente más prudente de describir el incidente es hablar de una pérdida inicialmente estimada en aproximadamente US$12.5 millones, con una reconstrucción onchain posterior que eleva la extracción total estimada a US$14.35 millones. Las dos cifras no deben presentarse como si una de ellas fuera necesariamente falsa: reflejan alcances diferentes de la investigación y todavía no existe un informe técnico final e independiente que reconcilie oficialmente cada movimiento.
La característica más importante del ataque es el mecanismo utilizado.
El contrato de 79AU contenía una función asociada a un OPERATOR_ROLE que permitía mover tokens desde determinadas direcciones y actualizar posteriormente las reservas del pool. Esa capacidad había sido utilizada previamente por el proyecto para operaciones relacionadas con recompensas. El problema fue que la wallet que poseía esos permisos podía realizar acciones extraordinariamente sensibles. Una vez que alguien obtuvo control de esa clave, pudo utilizar las mismas facultades administrativas para extraer tokens y venderlos contra la liquidez disponible.
79thVault informó posteriormente que la clave privada del operador había sido comprometida y que había corregido permisos y operaciones de contrato, además de iniciar seguimiento de los fondos y conversaciones con el atacante bajo un esquema de recompensa. El proyecto también afirmó estar colaborando con exchanges y empresas de seguridad en la recuperación.
Eso convierte el episodio en algo diferente de un exploit tradicional provocado por un error matemático inesperado dentro de un contrato inteligente. La infraestructura permitía deliberadamente que una dirección privilegiada ejecutara determinadas acciones. La vulnerabilidad crítica estuvo, según la explicación divulgada, en el control de esa autoridad.
La diferencia importa porque demuestra que la seguridad DeFi no termina después de una auditoría de código. También depende de quién controla las claves administrativas, qué permisos posee cada dirección, si existen múltiples firmantes, timelocks, límites de retiro, mecanismos de emergencia y segregación de responsabilidades. El código puede comportarse según lo previsto y aun así facilitar una pérdida si la arquitectura de permisos concentra demasiado poder.
También conviene aclarar qué no ocurrió.
BNB Chain no fue hackeada. No existe evidencia de que el mecanismo de consenso o la infraestructura fundamental de BNB haya sido comprometido. PancakeSwap tampoco fue identificado como el origen de una vulnerabilidad de su protocolo. El pool fue el lugar desde el cual se extrajo valor utilizando permisos pertenecientes al sistema de 79AU.
Tether tampoco sufrió un compromiso. USDT apareció en la noticia porque constituía una de las reservas de liquidez del par 79AU/USDT. Que millones de USDT salieran de ese pool no significa que las reservas de Tether, la emisión de USDT o su mecanismo de paridad hayan sido vulnerados.
BNB, por su parte, fue utilizado principalmente como activo de salida. Los fondos obtenidos al vender 79AU terminaron convertidos en miles de BNB. Eso genera actividad observable sobre BNB Chain, pero no ofrece por sí solo una base responsable para afirmar que el incidente debería provocar una caída material del precio de BNB.
Para el mercado general, por tanto, el efecto directo es limitado. 79AU no pertenece al top 20 de CoinMarketCap utilizado por Criptomanía RD, mientras BNB y USDT sí se encuentran entre los principales activos del mercado.
Sin embargo, el impacto estructural es mayor que el tamaño de un solo token. Cada incidente provocado por permisos administrativos o claves comprometidas recuerda a inversionistas y desarrolladores que “descentralizado” no significa automáticamente “sin puntos únicos de fallo”.
El verdadero riesgo que deja 79thVault es precisamente ese: un protocolo puede ser público, operar sobre una blockchain y utilizar contratos inteligentes, pero conservar componentes operativos que dependen críticamente de una o pocas credenciales.
Análisis de impacto de mercado
| Factor | Evaluación |
|---|---|
| Qué ocurrió | Un acceso con privilegios de operador fue utilizado para sacar 79AU del pool y venderlo contra su propia liquidez. Las estimaciones van de ~US$12.5M inicialmente a US$14.35M en la reconstrucción posterior de Bitquery. |
| Por qué importa | Muestra el riesgo de permisos administrativos y custodia de claves en DeFi, incluso cuando el vector no es una falla convencional del código. |
| 79AU | Impacto muy negativo y directo: pérdida de liquidez, deterioro de confianza y riesgo operacional. |
| BNB | Impacto neutral a ligeramente negativo indirecto. Fue utilizado como activo de salida, pero BNB Chain no fue comprometida. |
| USDT | Impacto neutral sobre el peg y Tether. Fue drenado de un pool específico; no existe evidencia de compromiso de USDT. |
| Corto plazo | Negativo para 79thVault y usuarios expuestos al pool; riesgo de movimientos adicionales de los fondos robados. |
| Mediano plazo | Negativo para la reputación del protocolo; potencial presión sobre proyectos con controles administrativos similares. |
| Largo plazo | Potencialmente positivo para estándares de seguridad si impulsa multisig, timelocks, segregación de funciones y monitoreo de claves privilegiadas. Esa es una inferencia de seguridad, no una consecuencia garantizada. |
| Confianza | Alta sobre la existencia y mecanismo básico del incidente; media sobre el monto final exacto; media-baja respecto a un efecto significativo sobre BNB o USDT. |
Qué podría debilitar esta interpretación
- El incidente no demuestra una falla del consenso de BNB Chain ni de PancakeSwap.
- La salida de USDT de un pool no implica una falla de las reservas o paridad de Tether.
- Los estándares de seguridad podrían mejorar, pero es una posibilidad y no una consecuencia garantizada.
Qué observar después
- Postmortem oficial, cambios de privilegios y gestión de claves.
- Movimientos de fondos y posibles recuperaciones.
- Separación de funciones, multisig, timelocks y monitoreo del protocolo.
El contexto local importa.
La referencia de compra y venta USD/DOP del Banco Central no es necesariamente la cotización comercial que recibe un cliente al comprar o vender USDT. Conviene separar el tipo de cambio, la paridad USDT/USD, disponibilidad, costos y margen. Esta noticia no modifica automáticamente una tasa local ni las normas dominicanas.
Referencia USD/DOP del Banco CentralFuentes de este análisis
El contenido recoge información disponible en la fecha de publicación. Las cifras históricas no son cotizaciones en tiempo real.
Este contenido tiene fines exclusivamente informativos y educativos. No constituye asesoría financiera, de inversión, legal ni fiscal. Los criptoactivos son volátiles y pueden generar pérdidas significativas. Investiga por tu cuenta antes de tomar decisiones financieras.
