Cysic ha suspendido su puente entre cadenas después de que un atacante acuñara 10 millones de tokens CYS no autorizados en BNB Smart Chain y moviera los fondos reportados a Ethereum. La brecha del 17 de octubre se originó por una autenticación defectuosa de los mensajes del puente que autorizan la emisión de tokens, según el relato del proyecto sobre el incidente.

Los detalles de la acuñación no autorizada salieron a la luz en un informe de incidentes del 18 de octubre publicado por la Cysic Foundation. Según el informe, la acuñación fraudulenta ocurrió a las 12:31:38 UTC. Los investigadores rastrearon la brecha hasta un acceso no autorizado a una base de datos del puente. El atacante luego explotó una vulnerabilidad en el procesamiento de mensajes para enviar instrucciones de acuñación fraudulentas sin una transferencia de activos correspondiente, lo que hizo que el protocolo emitiera tokens sin ningún depósito subyacente que los respaldara.

La actividad inicial en cadena citada en los primeros reportes vinculó el incidente con la venta de 7.2 millones de tokens, recibiendo aproximadamente 306.6 ETH en Ethereum a cambio. Esos fondos fueron valorados en unos $727,000, aunque la fundación no ha verificado el historial completo de transacciones ni determinado las pérdidas finales.

Cómo el atacante acuñó 10 millones de CYS

Los puentes entre cadenas dependen de mensajes autenticados para reconocer transferencias entre blockchains y liberar los activos correspondientes. En este caso, instrucciones fraudulentas hicieron que el sistema acuñara tokens sin ninguna transferencia legítima que los respaldara. La brecha se centró, por lo tanto, en la validación de mensajes del puente y no en una falla del consenso de la red subyacente. Debido a que una sola instrucción aceptada puede activar la emisión en la cadena de destino, esta capa de validación concentra la confianza de todo el puente, y las fallas en este punto han sido una categoría recurrente de incidentes de seguridad entre cadenas. El acceso a la base de datos identificado aquí también ilustra que el riesgo del puente va más allá del código en cadena, extendiéndose a los sistemas fuera de cadena que lo alimentan.

Cysic incluyó en lista negra la dirección receptora a las 13:47:52 UTC, unos 76 minutos después de la acuñación. Para ese momento, 2.8 millones de tokens —el 28% de la emisión— permanecían en la billetera bloqueada, mientras que los 7.2 millones restantes, o el 72%, ya habían salido. La inclusión en lista negra inmovilizó el saldo restante, pero no pudo recuperar los fondos que ya habían abandonado la dirección. El proyecto suspendió su puente entre cadenas para evitar cualquier actividad no autorizada adicional.

Una firma de seguridad externa está examinando ahora los mensajes del puente, los permisos y los registros de activos, mientras los investigadores rastrean las direcciones afectadas. El puente permanece cerrado sin fecha de reapertura, a la espera de completar la revisión y validación de seguridad.

La acuñación no autorizada equivale al 1% del suministro total

La escala de la emisión tiene un significado que va más allá de los fondos de la transferencia reportada. La tokenomics del proyecto documenta un suministro total de 1 mil millones de CYS, asignados a gobernanza, servicios de cómputo e incentivos de red. Los 10 millones de unidades no autorizadas equivalieron al 1% de ese suministro declarado, lo que plantea preguntas sobre la circulación no recuperada hasta que concluya la investigación.

Sin embargo, el monto transferido a Ethereum no debe tratarse como una pérdida financiera confirmada. Aunque elimiento inicial atribuyó 306.6 ETH al atacante, la fundación aún no ha establecido cuánto se retuvo finalmente. De manera similar, los 2.8 millones de tokens restringidos representan una medida de contención verificada, no una prueba de que se hayan recuperado fondos.

Las operaciones de la mainnet no se vieron afectadas durante el incidente: el consenso, la producción de bloques y la ejecución de transacciones continuaron con normalidad, y los activos existentes en las billeteras de los usuarios permanecieron intactos. El proyecto también ha advertido a los usuarios sobre enlaces falsos de compensación, propuestas de recuperación y solicitudes de claves privadas.

Se espera que un informe de seguimiento aborde las pérdidas verificadas, el rastreo de fondos y la remediación: los hallazgos que determinarán cualquier decisión sobre la reapertura del puente.