Cysic a suspendu son pont cross-chain après qu'un attaquant a frappé 10 millions de tokens CYS non autorisés sur BNB Smart Chain et transféré les produits rapportés vers Ethereum. La violation du 17 octobre provenait d'une authentification défaillante des messages du pont qui autorisent l'émission de tokens, selon le récit du projet de l'incident.

Les détails de la frappe non autorisée ont été révélés dans un rapport d'incident du 18 octobre publié par la Cysic Foundation. Selon le rapport, la frappe frauduleuse a eu lieu à 12:31:38 UTC. Les enquêteurs ont remonté la violation jusqu'à un accès non autorisé à une base de données du pont. L'attaquant a ensuite exploité une vulnérabilité de traitement des messages pour soumettre des instructions de frappe frauduleuses sans transfert d'actifs correspondant, amenant le protocole à émettre des tokens sans dépôt sous-jacent pour les soutenir.

L'activité on-chain initiale citée dans les premières informations a relié l'incident à des ventes de 7,2 millions de tokens, avec environ 306,6 ETH reçus sur Ethereum en échange. Ces produits étaient évalués à environ 727 000 $, bien que la fondation n'ait pas vérifié l'intégralité de la piste des transactions ni déterminé les pertes finales.

Comment l'attaquant a frappé 10 millions de CYS

Les ponts cross-chain s'appuient sur des messages authentifiés pour reconnaître les transferts entre blockchains et libérer les actifs correspondants. Dans ce cas, des instructions frauduleuses ont amené le système à frapper des tokens dépourvus de tout transfert légitime de soutien. La violation s'est donc concentrée sur la validation des messages du pont plutôt que sur une défaillance du consensus du réseau sous-jacent. Comme une seule instruction acceptée peut déclencher une émission sur la chaîne de destination, cette couche de validation concentre la confiance de l'ensemble du pont, et les failles à ce niveau constituent une catégorie récurrente d'échecs de sécurité cross-chain. L'accès à la base de données identifié ici illustre également que le risque lié aux ponts s'étend au-delà du code on-chain aux systèmes off-chain qui l'alimentent.

Cysic a mis sur liste noire l'adresse de réception à 13:47:52 UTC, soit environ 76 minutes après la frappe. À ce moment-là, 2,8 millions de tokens — 28 % de l'émission — restaient dans le portefeuille bloqué, tandis que les 7,2 millions restants, soit 72 %, avaient déjà quitté l'adresse. La mise sur liste noire a immobilisé le solde restant mais n'a pas permis de récupérer les fonds déjà sortis de l'adresse. Le projet a suspendu son pont cross-chain pour empêcher toute autre activité non autorisée.

Une société de sécurité externe examine actuellement les messages du pont, les permissions et les registres d'actifs, tandis que les enquêteurs traçent les adresses concernées. Le pont reste fermé sans date de réouverture, dans l'attente de l'achèvement de la revue et de la validation de sécurité.

Une frappe non autorisée équivalant à 1 % de l'offre totale

L'ampleur de l'émission a une importance qui dépasse les produits de transfert rapportés. La tokenomics du projet documente une offre totale de 1 milliard de CYS, alloués à la gouvernance, aux services de calcul et aux incitations du réseau. Les 10 millions d'unités non autorisées représentaient 1 % de cette offre déclarée, soulevant des questions sur la circulation non récupérée jusqu'à la conclusion de l'enquête.

Le montant transféré vers Ethereum ne doit toutefois pas être considéré comme perte financière confirmée. Bien que le suivi initial ait attribué 306,6 ETH à l'attaquant, la fondation n'a pas encore établi combien a finalement été conservé. De même, les 2,8 millions de tokens restreints représentent une mesure de confinement vérifiée plutôt que la preuve qu'un quelconque fonds ait été récupéré.

Les opérations du mainnet n'ont pas été affectées tout au long de l'incident : le consensus, la production de blocs et l'exécution des transactions se sont poursuivies normalement, et les actifs existants détenus dans les portefeuilles des utilisateurs sont restés intacts. Le projet a également averti les utilisateurs contre les faux liens de compensation, les fausses promesses de récupération et les demandes de clés privées.

Un rapport de suivi devrait aborder les pertes vérifiées, le traçage des fonds et les mesures correctives — des conclusions qui détermineront toute décision de réouverture du pont.