Cysic hat seine Cross-Chain-Bridge ausgesetzt, nachdem ein Angreifer die Nachrichtenverarbeitungs-Infrastruktur ausnutzte, um 10 Millionen unbefugte CYS-Token auf der BNB Smart Chain zu prägen, davon 7,2 Millionen zu verkaufen und Erlöse von rund 727.000 USD zu Ethereum zu bewegen.

Der Vorfall vom 17. Oktober ging auf einen unbefugten Datenbankzugriff und gefälschte Mint-Anweisungen zurück. Cysic setzte die Adresse des Empfängers auf die Blacklist und blockierte damit die verbleibenden 2,8 Millionen Token rund 76 Minuten nach der unbefugten Ausgabe.

Die Foundation bestätigte in einer Erklärung auf X, dass der Vorfall auf die Bridge-Infrastruktur beschränkt war. Der Mainnet-Betrieb von Cysic war nicht betroffen, und es wurden keine bestehenden Wallet-Guthaben der Nutzer gestohlen.

Datenbankverletzung ermöglichte unbefugte CYS-Prägung

Der Angriff begann am 17. Oktober um 12:31:38 UTC, als eine unbefugte Mint-Transaktion die zusätzlichen CYS-Token auf der BNB Smart Chain erzeugte. Vorläufige Erkenntnisse belegten einen unbefugten Zugriff auf eine Datenbank, die die Cross-Chain-Dienste von Cysic unterstützt. Der Angreifer nutzte eine Schwachstelle in der Nachrichtenverarbeitungslogik der Bridge aus, um eine gefälschte Mint-Anweisung zu übermitteln, die das System akzeptierte.

Die kompromittierte Infrastruktur verarbeitete Cross-Chain-Nachrichten und Token-Ausgaben und nicht die Konsensoperationen des zugrunde liegenden Netzwerks. Bridges übernehmen diese Prüf- und Ausgabefunktion unabhängig von den verknüpften Chains – deshalb kann eine Schwachstelle in der Nachrichtenverarbeitung unbefugte Tokenmengen erzeugen, selbst wenn das zugrunde liegende Netzwerk und die Nutzer-Guthaben unversehrt bleiben. Cysic hat ein externes Sicherheitsunternehmen beauftragt, um den Eintrittspunkt, die Verarbeitungsschwachstelle und die anschließenden Geldbewegungen zu untersuchen.

Die Sicherheitsdokumentation von Cysic führt die Prüfungen von Bridge-Nachrichten, Mint-Kontrollen und die Integrität von Cross-Chain-Assets als zuvor auditierte Komponenten auf. Foundation hat den vollständigen technischen Angriffsweg noch nicht offengelegt.

Angreifer verkaufte 7,2 Millionen CYS vor dem Wallet-Freeze

On-Chain-Transaktionsverfolgung zeigt, dass der Angreifer innerhalb von fünf Minuten nach der unbefugten Prägung mit dem Bewegen der Token begann. Etwa 5,65 Millionen CYS wurden in der ersten Transaktionsrunde für 588.315 USDT verkauft. Weitere 1,55 Millionen CYS wurden anschließend gegen rund 220 BNB getauscht, wobei die Trades über dezentrale Exchange-Infrastruktur, einschließlich PancakeSwap, abgewickelt wurden.

Die Erlöse wurden über Mayan, deBridge und SWFTs Bridgers-Dienst von der BNB Chain zu Ethereum bewegt. Die Empfängeradresse sammelte rund 306,6 ETH im Wert von etwa 727.000 USD, basierend auf den Ethereum-Kursen vom 18. Oktober.

Cysic setzte die CYS-Adresse des Angreifers um 13:47:52 UTC auf die Blacklist, eine Einfrierungsmaßnahme, die weitere Überweisungen des verbleibenden Guthabens verhinderte. Die Beschränkung wirkte sich nicht auf das bereits zu Ethereum bewegte ETH aus, wo die Transaktionsverfolgung eine anschließende Überweisung an eine andere Adresse identifizierte.

Die unbefugte Ausgabe entsprach rund 6,2 % des zirkulierenden Angebots von 160,8 Millionen CYS und 1 % des Gesamtangebots von 1 Milliarde Token. Die Anzahl der erzeugten Token ist unabhängig von den realisierten Erlösen des Angreifers; Cysic hat weder eine endgültige Verlustsumme festgelegt noch die gebridgte ETH zurückgewonnen.

Bridge bleibt bis zur Sicherheitsüberprüfung ausgesetzt

Der Exploit betraf die unbefugte Erzeugung von Token und keine direkte Entnahme aus einem Bridge-Liquiditätspool – ein Integritätsversagen der Tokenversorgung der Art, die im Juni die Sys-Bridge betraf, als ein Validierungsfehler rund 5 Milliarden unbefugte SYS-Ausgaben erzeugte. Vergleichbare Vorfälle verdeutlichen das Ausmaß des Risikos: Im Februar 2022 ermöglichte ein Fehler bei der Signaturprüfung in der Wormhole-Bridge die Prägung von 120.000 Wrapped ETH ohne Deckung, damals im Wert von mehr als 300 Millionen USD, und im Folgemonat verlor die Ronin-Bridge über 600 Millionen USD, nachdem Angreifer die Mehrheit ihrer Validator-Schlüssel erlangt hatten. Cross-Chain-Bridges sind wiederholt Ziel von Angreifern, da sie Assets über mehrere Blockchain-Netzwerke hinweg erzeugen oder bewegen können.

Die Cross-Chain-Infrastruktur von Cysic bleibt ausgesetzt, während die Ermittler die kompromittierte Datenbank, die gefälschten Mint-Anweisungen und die verbleibenden vom Angreifer kontrollierten Assets untersuchen. Die Foundation beabsichtigt, einen Folgebericht zu bestätigten finanziellen Verlusten, der Rückverfolgung der Gelder und Abhilfemaßnahmen zu veröffentlichen. Ein Datum für die Wiedereröffnung der Bridge wurde nicht bekannt gegeben.