Cysic ha suspendido su bridge de cadena cruzada después de que un atacante explotara su infraestructura de procesamiento de mensajes para acuñar 10 millones de tokens CYS no autorizados en BNB Smart Chain, vendiendo 7.2 millones de ellos y moviendo aproximadamente $727,000 en ganancias a Ethereum.

El incidente del 17 de octubre se originó por un acceso no autorizado a la base de datos y instrucciones de acuñación fraudulentas. Cysic incluyó la dirección del receptor en una lista negra, inmovilizando los 2.8 millones de tokens restantes unos 76 minutos después de la emisión no autorizada.

La Fundación confirmó en un comunicado en X que el incidente se limitó a la infraestructura del bridge. Las operaciones de la mainnet de Cysic no se vieron afectadas y no se robaron activos de los monederos existentes de los usuarios.

Una brecha en la base de datos permitió la acuñación no autorizada de CYS

El ataque comenzó a las 12:31:38 UTC del 17 de octubre, cuando una transacción de acuñación no autorizada creó la oferta adicional de CYS en BNB Smart Chain. Los hallazgos preliminares identificaron un acceso no autorizado a una base de datos que respalda los servicios de cadena cruzada de Cysic. El atacante explotó una debilidad en la lógica de procesamiento de mensajes del bridge para enviar una instrucción de acuñación fraudulenta que el sistema aceptó.

La infraestructura comprometida gestionaba la mensajería de cadena cruzada y la emisión de tokens, no las operaciones de consenso de la red subyacente. Los bridges cumplen esta función de verificación y emisión de forma independiente de las cadenas que conectan, razón por la cual una falla en el procesamiento de mensajes puede crear oferta no autorizada incluso cuando la red subyacente y los activos en poder de los usuarios permanecen intactos. Cysic ha contratado a una firma de seguridad externa para investigar el punto de entrada, la vulnerabilidad de procesamiento y el posterior movimiento de fondos.

La documentación de seguridad de Cysic enumera la verificación de mensajes del bridge, los controles de acuñación y la integridad de los activos de cadena cruzada como componentes previamente auditados. La Fundación aún no ha revelado la ruta técnica completa del ataque.

El atacante vendió 7.2 millones de CYS antes del congelamiento de la cartera

El seguimiento de transacciones en cadena indica que el atacante comenzó a mover los tokens dentro de los cinco minutos posteriores a la acuñación no autorizada. Aproximadamente 5.65 millones de CYS se vendieron por 588,315 USDT en la primera ronda de transacciones. Otros 1.55 millones de CYS se intercambiaron posteriormente por alrededor de 220 BNB, con operaciones enrutadas a través de infraestructura de intercambios descentralizados, incluido PancakeSwap.

Las ganancias se movieron de BNB Chain a Ethereum mediante los servicios de Mayan, deBridge y Bridgers de SWFT. La receptora acumuló aproximadamente 306.6 ETH, con un valor de alrededor de $727,000 según los precios de Ethereum del 18 de octubre.

Cysic incluyó la dirección CYS del atacante en la lista negra a las 13:47:52 UTC, una medida de congelamiento que impidió nuevas transferencias del saldo restante. La restricción no afectó el ETH ya movido a Ethereum, donde el seguimiento de transacciones identificó una transferencia posterior a otra dirección.

La emisión no autorizada representó aproximadamente el 6.2% de la oferta circulante de 160.8 millones de CYS y el 1% de la oferta total de 1,000 millones del token. La cantidad de tokens creados es independiente de las ganancias realizadas por el atacante, y Cysic no ha establecido una cifra final de pérdidas financieras ni ha recuperado el ETH transferido mediante el bridge.

El bridge permanece suspendido a la espera de la revisión de seguridad

El exploit involucró la creación no autorizada de tokens en lugar de un retiro directo de un pool de liquidez del bridge, lo que lo convierte en una falla de integridad de oferta del tipo que afectó al bridge de Sys en junio, cuando una falla de validación produjo aproximadamente 5,000 millones de outputs SYS no autorizados. Incidentes comparables ilustran la magnitud del riesgo: en febrero de 2022, una falla de verificación de firmas en el bridge de Wormhole permitió la acuñación de 120,000 ETH envueltos sin respaldo, valorados entonces en más de $300 millones, y al mes siguiente el bridge de Ronin perdió más de $600 millones después de que atacantes obtuvieran la mayoría de sus claves de validadores. Los bridges de cadena cruzada han sido objetivo recurrente de atacantes porque pueden crear o mover activos a través de múltiples redes blockchain.

La infraestructura de cadena cruzada de Cysic permanece suspendida mientras los investigadores examinan la base de datos comprometida, las instrucciones de acuñación fraudulentas y los activos restantes controlados por el atacante. La Fundación tiene previsto publicar un informe de seguimiento del incidente que cubra las pérdidas financieras verificadas, el rastreo de fondos y las medidas de remediación. No se ha anunciado una fecha de reapertura del bridge.