Actualités CryptoExploit du pont Cysic : 10 millions de CYS émis, 2,8 millions de tokens gelés sur la BNB Chain

Exploit du pont Cysic : 10 millions de CYS émis, 2,8 millions de tokens gelés sur la BNB Chain

Auteur: Crypto Ninjas·20 oct. 2026

Points clés

•Un attaquant a obtenu l'accès à une base de données utilisée par un service prenant en charge le pont et a envoyé un message d'émission frauduleux, créant 10 millions de CYS sur une seule adresse destinataire de la BNB Smart Chain le 17 octobre 2026.
•Cysic a ajouté l'adresse destinataire à la blacklist du contrat du token CYS environ 76 minutes après l'émission, restreignant les transferts d'environ 2,8 millions de CYS encore détenus à cette adresse.
•La fondation a déclaré que le consensus du mainnet, la production de blocs, la confirmation des transactions et l'exécution de la machine virtuelle n'ont pas été affectés, et aucune preuve n'indique que des actifs aient été volés dans les portefeuilles des utilisateurs.
•Toutes les opérations des ponts inter-chaînes de Cysic ont été suspendues sans date de réouverture, le rétablissement étant conditionné à l'achèvement d'une revue de sécurité et à la vérification des mesures correctives.
•L'impact financier réel reste indéterminé car les tokens émis n'avaient pas été déplacés ou échangés, et un rapport de suivi sur les pertes, le traçage des fonds et les mesures correctives est prévu.

Exploit du pont Cysic : 10 millions de CYS émis, 2,8 millions de tokens gelés sur la BNB Chain

Un attaquant a utilisé un exploit du pont inter-chaînes de Cysic sur la BNB Smart Chain pour créer 10 millions de CYS sans autorisation. Les ponts inter-chaînes déplacent des tokens entre réseaux en relayant des messages entre contrats, et un message frauduleux dans ce flux peut déclencher une création de tokens non autorisée sur la chaîne de destination. Cysic a ensuite blacklisté l'adresse destinataire, restreignant les transferts d'environ 2,8 millions de CYS qui s'y trouvaient encore. La fondation a déclaré qu'aucun actif sur le mainnet de Cysic ni aucun actif existant dans les portefeuilles des utilisateurs n'avait été affecté.

La Cysic Foundation a suspendu ses ponts inter-chaînes après avoir identifié une vulnérabilité dans le flux de traitement des messages et d'émission de tokens. La fondation a indiqué que l'incident était limité à l'infrastructure du pont et n'a pas affecté le mécanisme de consensus du mainnet de Cysic, l'exécution des transactions ni les tokens déjà détenus par les utilisateurs.

— Cysic Foundation (@cysic_fdn) October 18, 2026

Émission non autorisée de CYS sur la BNB Smart Chain

Le rapport source donne deux horodatages pour l'émission non autorisée sur la BNB Smart Chain : 12:31:38 UTC le 17 octobre 2026 et 17:31:38 UTC le même jour.

Selon l'enquête préliminaire de Cysic, l'attaquant a obtenu l'accès à une base de données utilisée par un prenant en charge le pont. L'attaquant a ensuite exploité une vulnérabilité de la logique de traitement associée pour envoyer un message d'émission frauduleux, entraînant la création de 10 millions de CYS sur une seule adresse destinataire. Ce vecteur d'attaque — un accès compromis à une base de données d'un service auxiliaire suivi d'un message d'émission frauduleux — illustre le fait que la sécurité des ponts s'étend au-delà des contrats on-chain jusqu'à l'infrastructure off-chain qui les alimente.

Cysic a averti que le nombre de tokens nouvellement créés ne devait pas être considéré comme la mesure finale de l'incident. L'impact réel en dollars, ainsi que les éventuels transferts et échanges, restaient à l'étude. Les tokens ayant été émis plutôt que prélevés des portefeuilles des utilisateurs, l'impact réalisé dépend de savoir si le nouvel approvisionnement sera déplacé ou échangé, une question que l'enquête n'avait pas encore tranchée.

Environ 2,8 millions de CYS restreints

Cysic a commencé à ajouter l'adresse destinataire à la blacklist du contrat du token CYS à 13:47:52 UTC, soit environ 76 minutes après l'émission non autorisée. La restriction a été activée on-chain et empêchait les transferts d'environ 2,8 millions de CYS encore détenus à cette adresse. Une blacklist au niveau du contrat peut empêcher les tokens de quitter une adresse, mais ne permet pas à elle seule de les récupérer, c'est pourquoi les travaux de traçage se sont poursuivis en parallèle du gel.

L'équipe suivait également 3 380,41 $ supplémentaires avec l'assistance d'une société de sécurité professionnelle, selon le rapport.

Mainnet et actifs existants des utilisateurs non affectés

Cysic a déclaré que l'incident n'avait pas compromis l'infrastructure du mainnet. Le consensus, la production de blocs, la confirmation des transactions et l'exécution de la machine virtuelle Ethereum sont restés inchangés.

La fondation a également indiqué qu'il n'existait aucune preuve que des CYS existants ou d'autres actifs aient été volés dans les portefeuilles des utilisateurs. Contrairement à un exploit qui draine les actifs détenus par les utilisateurs, cet incident a impliqué la création non autorisée de nouveaux tokens sur une adresse destinataire.

Le pont reste suspendu pendant la revue

Cysic a suspendu les opérations du pont immédiatement après la détection de l'incident et a déclaré que le service ne serait pas rétabli tant que l'ensemble du flux de travail n'aurait pas été examiné. L'enquête porte sur le traitement des messages, les paramètres d'autorisation, les registres d'actifs et l'intégralité du chemin d'attaque.

La fondation n'a pas annoncé de date de réouverture. Le pont restera fermé jusqu'à ce que l'évaluation de sécurité soit terminée et que les mesures correctives recommandées aient été vérifiées, laissant transferts inter-chaînes via les ponts de Cysic indisponibles entre-temps.

Cysic a indiqué qu'elle publierait un rapport de suivi couvrant les conclusions de l'enquête, les pertes réelles, l'avancement du traçage des fonds et les dernières mesures correctives. Ces conclusions, conjointement avec tout mouvement confirmé des tokens émis, définiront la portée finale de l'incident.