Cysic setzt Cross-Chain-Bridge aus, nachdem Hacker 10 Mio. CYS geprägt und 727.000 $ nach Ethereum bewegt haben
Wichtige Erkenntnisse
- •Ein Angreifer prägte am 17. Oktober um 12:31:38 UTC 10 Millionen unauthorized CYS-Token auf der BNB Smart Chain, indem er nach einem unbefugten Zugriff auf eine Bridge-Datenbank eine Schwachstelle in der Bridge-Nachrichtenverarbeitung ausnutzte.
- •Erstes On-Chain-Tracking brachte den Verkauf von 7,2 Millionen Token mit etwa 306,6 ETH auf Ethereum im Wert von rund 727.000 $ in Verbindung, doch die Cysic Foundation hat die vollständige Transaktionskette nicht verifiziert oder endgültige Verluste bestätigt.
- •Cysic sperrte die Empfangsadresse etwa 76 Minuten nach der Prägung und immobilisierte 2,8 Millionen Token, während die verbleibenden 7,2 Millionen die Adresse bereits verlassen hatten.
- •Die Cross-Chain-Bridge bleibt ohne Wiedereröffnungstermin geschlossen, bis ein externes Sicherheitsunternehmen Bridge-Nachrichten, Berechtigungen und Asset-Aufzeichnungen geprüft hat.
- •Die unbefugte Emission entsprach 1 % der angegebenen Gesamtmenge von 1 Milliarde CYS, während Mainnet-Konsens, Blockproduktion und Nutzer-Assets während des Vorfalls unbeeinträchtigt blieben.
Cysic hat seine Cross-Chain-Bridge ausgesetzt, nachdem ein Angreifer 10 Millionen unauthorized CYS-Token auf der BNB Smart Chain geprägt und die berichteten Erlöse nach Ethereum bewegt hatte. Der Angriff vom 17. Oktober ging auf eine fehlerhafte Authentifizierung der Bridge-Nachrichten zurück, die die Token-Emission autorisieren, wie aus der Darstellung des Projekts zum Vorfall hervorgeht.
Details zur unbefugten Prägung wurden in einem Zwischenbericht vom 18. Oktober der Cysic Foundation bekannt. Dem Bericht zufolge fand die betrügerische Prägung um 12:31:38 UTC statt. Ermittler führten den Angriff auf einen unbefugten Zugriff auf eine Bridge-Datenbank zurück. Der Angreifer nutzte anschließend eine Schwachstelle in der Nachrichtenverarbeitung aus, um betrügerische Prägeanweisungen ohne entsprechende Asset-Übertragung einzureichen, wodurch das Protokoll Token ohne zugrunde liegende Einlage ausgab.
Erste On-Chain-Aktivitäten, auf die sich frühe Berichte bezogen, brachten den Vorfall mit dem Verkauf von 7,2 Millionen Token in Verbindung, wofür etwa 306,6 ETH auf Ethereum erhalten wurden. Diese Erlöse wurden auf rund 727.000 $ geschätzt, obwohl die Foundation die vollständige Transaktionskette nicht verifiziert und die endgültigen Verluste noch nicht beziffert hat.
Wie der Angreifer 10 Mio. CYS prägte
Cross-Chain-Bridges verlassen sich auf authentifizierte Nachrichten, um Übertragungen zwischen Blockchains zu erkennen und entsprechende Assets freizugeben. In diesem Fall führten betrügerische Anweisungen dazu, dass das System Token ohne legitime zugrunde liegende Übertragung prägte. Der Angriff betraf daher die Validierung der Bridge-Nachrichten und nicht den Konsens des zugrunde liegenden Netzwerks. Da eine einzelne akzeptierte Anweisung eine Emission auf der Zielkette auslösen kann, konzentriert sich in dieser Validierungsschicht das Vertrauen der gesamten Bridge, und Schwachstellen an dieser Stelle waren wiederholt eine Ursache für Cross-Chain-Sicherheitsvorfälle. Der hier identifizierte Datenbankzugriff zeigt zudem, dass das Bridgerisiko über den On-Chain-Code hinaus auch die Off-Chain-Systeme umfasst, die diesen speisen.
Cysic sperrte die Empfangsadresse um 13:47:52 UTC, etwa 76 Minuten nach der Prägung. Zu diesem Zeitpunkt befanden sich noch 2,8 Millionen Token – 28 % der Emission – in der gesperrten Wallet, während die verbleibenden 7,2 Millionen Token bzw. 72 % die Adresse bereits verlassen hatten. Die Sperrung immobilerte den verbliebenen Bestand, konnte jedoch die bereits abgeflossenen Mittel nicht zurückholen. Das Projekt setzte seine Cross-Chain-Bridge außer Betrieb, um weitere unbefugte Aktivitäten zu verhindern.
Ein externes Sicherheitsunternehmen prüft nun Bridge-Nachrichten, Berechtigungen und Asset-Aufzeichnungen, während Ermittler die betroffenen Adressen nachverfolgen. Die Bridge bleibt geschlossen, ein Wiedereröffnungstermin steht ausstehend der Sicherheitsprüfung und Validierung noch aus.
Unbefugte Prägung entspricht 1 % der Gesamtmenge
Das Ausmaß der Emission ist auch über die berichteten Transfererlöse hinaus von Bedeutung. Die Tokenomics des Projekts weisen eine Gesamtmenge von 1 Milliarde CYS aus, die für Governance, Rechenleistungen und Netzwerkanreize vorgesehen ist. Die 10 Millionen unbefugt geprägten Einheiten entsprachen 1 % dieser angegebenen Menge und werfen Fragen zum noch nicht zurückgeholten Umlauf auf, bis die Untersuchung abgeschlossen ist.
Der nach Ethereum überwiesene Betrag sollte jedoch nicht als bestätigter finanzieller Verlust gewertet werden. although das initiale Tracking dem Angreifer 306,6 ETH zuschrieb, hat die Foundation noch nicht festgestellt, wie viel letztlich verblieben ist. Ebenso stellen die 2,8 Millionen gesperrten Token eine verifizierte Eindämmungsmaßnahme dar und keinen Beleg dafür, dass Mittel zurückgeholt wurden.
Der Mainnet-Betrieb blieb während des gesamten Vorfalls unbeeinträchtigt: Konsens, Blockproduktion und Transaktionsausführung liefen normal weiter, und vorhandene Assets in den Wallets der Nutzer blieben unangetastet. Das Projekt hat die Nutzer zudem vor gefälschten Kompensationslinks, angeblichen Rückholangeboten und Anfragen nach privaten Schlüsseln gewarnt.
Ein Folgebericht wird voraussichtlich über die verifizierten Verluste, die Nachverfolgung der Geldmittel und die Behebung der Schwachstellen informieren – Ergebnisse, die über eine Wiedereröffnung der Bridge entscheiden werden.
