Cysic a suspendu son pont cross-chain après qu'un attaquant a exploité son infrastructure de traitement des messages pour frapper 10 millions de jetons CYS non autorisés sur BNB Smart Chain, en vendant 7,2 millions et en transférant environ 727 000 $ de produits vers Ethereum.

L'incident du 17 octobre provenait d'un accès non autorisé à une base de données et d'instructions de frappe frauduleuses. Cysic a mis l'adresse du destinataire sur liste noire, immobilisant les 2,8 millions de jetons restants environ 76 minutes après l'émission non autorisée.

La Fondation a confirmé dans un communiqué sur X que l'incident s'était limité à l'infrastructure du pont. Les opérations du mainnet de Cysic n'ont pas été affectées, et aucun actif des portefeuilles existants des utilisateurs n'a été volé.

Une violation de base de données a permis une frappe non autorisée de CYS

L'attaque a commencé à 12 h 31 min 38 s UTC le 17 octobre, lorsqu'une transaction de frappe non autorisée a créé l'offre supplémentaire de CYS sur BNB Smart Chain. Les conclusions préliminaires ont identifié un accès non autorisé à une base de données soutenant les services cross-chain de Cysic. L'attaquant a exploité une faiblesse dans la logique de traitement des messages du pont pour soumettre une instruction de frappe frauduleuse que le système a acceptée.

L'infrastructure compromise gérait la messagerie cross-chain et l'émission de jetons, et non les opérations de consensus du réseau sous-jacent. Les ponts remplissent ce rôle de vérification et d'émission indépendamment des chaînes qu'ils relient, ce qui explique pourquoi une faille de traitement des messages peut créer une offre non autorisée même lorsque le réseau sous-jacent et les actifs détenus par les utilisateurs restent intacts. Cysic a fait appel à une société de sécurité externe pour enquêter sur le point d'entrée, la vulnérabilité de traitement et les mouvements de fonds ultérieurs.

La documentation de sécurité de Cysic répertorie la vérification des messages du pont, les contrôles de frappe et l'intégrité des actifs cross-chain parmi les composants précédemment audités. La Fondation n'a pas encore divulgué le chemin d'attaque technique complet.

L'attaquant a vendu 7,2 millions de CYS avant le gel du portefeuille

Le suivi des transactions onchain indique que l'attaquant a commencé à déplacer les jetons dans les cinq minutes suivant la frappe non autorisée. Environ 5,65 millions de CYS ont été vendus pour 588 315 USDT lors de la première série de transactions. 1,55 million de CYS supplémentaires ont ensuite été échangés contre environ 220 BNB, les transactions étant acheminées via des infrastructures d'échange décentralisées, dont PancakeSwap.

Les produits sont passés de la BNB Chain à Ethereum via les services de Mayan,Bridge et Bridgers de SWFT. L'adresse de réception a accumulé environ 306,6 ETH, d'une valeur d'environ 727 000 $ sur la base des prix d'Ethereum du 18 octobre.

Cysic a mis l'adresse CYS de l'attaquant sur liste noire à 13 h 47 min 52 s UTC, une mesure de gel qui a empêché tout nouveau transfert du solde restant. La restriction n'a pas affecté les ETH déjà transférés vers Ethereum, où le suivi des transactions a identifié un transfert ultérieur vers une autre adresse.

L'émission non autorisée représentait environ 6,2 % de l'offre en circulation de 160,8 millions de CYS et 1 % de l'offre totale de 1 milliard de jetons. Le nombre de jetons créés est distinct des produits réellement obtenus par l'attaquant, et Cysic n'a pas établi de chiffre définitif de pertes financières ni récupéré les ETH transférés par le pont.

Le pont reste suspendu dans l'attente d'une revue de sécurité

L'exploit impliquait une création de jetons non autorisée plutôt qu'un retrait direct d'un pool de liquidité du pont, ce qui en fait une défaillance d'intégrité d'offre du même type que celle qui a affecté le pont Sys en juin, lorsqu'un défaut de validation a produit environ 5 milliards de sorties SYS non autorisées. Des incidents comparables illustrent l'ampleur du risque : en février 2022, un défaut de vérification de signature dans le pont Wormhole a permis la frappe de 120 000 ETH wrappés sans couverture, d'une valeur alors supérieure à 300 millions de dollars, et le mois suivant, le pont Ronin a perdu plus de 600 millions de dollars après que des attaquants ont obtenu la majorité de ses clés de validateurs. Les ponts cross-chain ont été ciblés à plusieurs reprises par des attaquants parce qu'ils peuvent créer ou déplacer des actifs sur plusieurs réseaux blockchain.

L'infrastructure cross-chain de Cysic reste suspendue pendant que les enquêteurs examinent la base de données compromise, les instructions de frappe frauduleuses et les actifs restants contrôlés par l'attaquant. La Fondation prévoit de publier un rapport d'incident complémentaire couvrant les pertes financières vérifiées, le traçage des fonds et les mesures correctives. Aucune date de réouverture du pont n'a été annoncée.