Cysic a suspendu son pont cross-chain à la suite du mint non autorisé de 10 millions de tokens CYS sur la BNB Smart Chain le 17 octobre 2026.

L'entreprise a indiqué que l'incident se limitait aux fonctions de traitement des messages et de mint du pont, précisant que la mainnet et ses autres systèmes opérationnels restent inchangés. Le pont lui-même est toutefois hors ligne indéfiniment, sans calendrier communiqué pour son rétablissement.

Ce qui s'est passé sur le pont

Les ponts cross-chain vérifient généralement un transfert sur une chaîne et émettent une représentation correspondante de l'actif sur une autre, ce qui explique pourquoi la compromission des fonctions de traitement des messages et de mint peut conduire à la création de tokens sans dépôt correspondant sur la chaîne source.

Le mint non autorisé a eu lieu à 12:31:38 UTC le 17 octobre. Dès 13:47:52 UTC le même jour, Cysic avait mis sur liste noire l'adresse ayant reçu les tokens.

Au moment du blacklisting, environ 2,8 millions des CYS récemment émis se trouvaient encore sur cette adresse — ce qui signifie que la majorité des 10 millions de tokens avaient déjà quitté le portefeuille avant que le gel ne prenne effet.

Cysic a fait appel à des experts en sécurité tiers pour enquêter sur la violation. L'équipe suit également les mouvements des tokens exploités et surveille s'ils sont échangés.

Les premières conclusions pointent vers un lien potentiel entre la violation et un accès non autorisé à la base de données, ainsi que des faiblesses dans la logique de traitement du pont. L'entreprise n'a pas confirmé le vecteur d'attaque complet ni la cause racine ; les deux font toujours l'objet d'une évaluation.

Un mode de défaillance récurrent

Les exploits de mint via les ponts ne sont pas un phénomène nouveau. Syscoin a subi un exploit similaire de mint via son pont en juin 2026, et les incidents de ce type continuent de révéler la même faiblesse centrale : des fonctions de mint insuffisamment protégées.

Le contexte de l'offre souligne l'importance de l'événement. Le CYS a une offre maximale de 1 milliard de tokens, dont environ 160,8 millions étaient en circulation après l'événement de génération de tokens. Rapportée à ce chiffre en circulation, l'émission non autorisée de 10 millions de tokens représente un ajout significatif à l'offre.

Le parcours de Cysic jusqu'ici

Cysic fonctionne selon un modèle à double token. Le CYS sert de token utilitaire, tandis que le CGT assure la gouvernance et s'obtient via le staking. L'incident du pont n'a impliqué que le CYS ; Cysic n'a signalé aucun impact sur le CGT.

Le projet a lancé sa mainnet et organisé l'événement de génération de tokens CYS en décembre 2025, à la suite d'une levée de fonds et d'une série de testnets. Le lancement a suscité des critiques concernant la distribution des tokens TGE et la transparence financière.

La violation d'octobre constitue le premier problème de sécurité opérationnelle notable lié à l'infrastructure de pont de Cysic.

Ce que cela signifie pour les détenteurs de CYS et les utilisateurs du pont

Pour les détenteurs, la question immédiate est la dilution. Dix millions de tokens ont été créés en dehors du processus prévu, et seuls environ 2,8 millions d'entre eux sont confirmés gelés.

Les utilisateurs du pont, quant à eux, ne peuvent pas transférer de CYS entre les chaînes via le pont de Cysic tant qu'il n'a pas rouvert, et aucune date n'a été communiquée.

L'orientation initiale de l'enquête mérite également attention. Un lien confirmé avec un accès non autorisé à la base de suggérerait que la faiblesse pourrait résider dans les systèmes off-chain alimentant le pont, plutôt que uniquement dans le code des smart contracts. Si tel est le cas, cela élargirait le débat sur la sécurité au-delà des audits des contrats on-chain pour couvrir la manière dont les opérateurs de ponts protègent leurs propres systèmes back-end.

À court terme, trois évolutions détermineront la suite des événements : la confirmation ou non du vecteur d'attaque et de la cause racine par l'enquête, le sort des quelque 7,2 millions de tokens ayant quitté l'adresse sur liste noire avant le gel, et le moment — ou les conditions — auxquels Cysic rétablira le service du pont.