Cysic ha sospeso il suo bridge cross-chain dopo che un attaccante ha emesso 10 milioni di token CYS non autorizzati su BNB Smart Chain e ha spostato i proventi dichiarati su Ethereum. La violazione del 17 ottobre è derivata da un'autenticazione difettosa dei messaggi del bridge che autorizzano l'emissione di token, secondo la ricostruzione dell'incidente fornita dal progetto.

I dettagli dell'emissione non autorizzata sono emersi in un rapporto sull'incidente dell'18 ottobre pubblicato dalla Cysic Foundation. Secondo il rapporto, l'emissione fraudolenta è avvenuta alle 12:31:38 UTC. Gli investigatori hanno fatto risalire la violazione a un accesso non autorizzato a un database del bridge. L'attaccante ha quindi sfruttato una vulnerabilità nell'elaborazione dei messaggi per inviare istruzioni di emissione fraudolente senza un corrispondente trasferimento di asset, inducendo il protocollo a emettere token privi di un deposito sottostante a supporto.

Le prime attività on-chain citate nelle prime segnalazioni hanno collegato l'incidente alla vendita di 7,2 milioni di token, con circa 306,6 ETH ricevuti su Ethereum in cambio. Tali proventi sono stati valutati intorno ai 727.000 $, sebbene la fondazione non abbia verificato l'intero percorso delle transazioni né determinato le perdite finali.

Come l'Attaccante Ha Emesso 10M di Token CYS

I bridge cross-chain si affidano a messaggi autenticati per riconoscere i trasferimenti tra blockchain e rilasciare gli asset corrispondenti. In questo caso, istruzioni fraudolente hanno indotto il sistema a emettere token privi di qualsiasi legittimo trasferimento a supporto. La violazione si è quindi concentrata sulla validazione dei messaggi del bridge piuttosto che su un crollo del consenso della rete sottostante. Poiché una singola istruzione accettata può attivare un'emissione sulla catena di destinazione, questo livello di validazione concentra la fiducia dell'intero bridge, e i difetti in questo punto sono stati una categoria ricorrente di fallimenti di sicurezza cross-chain. Anche l'accesso al database identificato in questo caso illustra come il rischio dei bridge si estenda oltre il codice on-chain ai sistemi off-chain che lo alimentano.

Cysic ha inserito in blacklist l'indirizzo di ricezione alle 13:47:52 UTC, circa 76 minuti dopo l'emissione. A quel punto, 2,8 milioni di token — il 28% dell'emissione — erano rimasti nel portafoglio bloccato, mentre i restanti 7,2 milioni, ovvero il 72%, erano già stati spostati fuori. La blacklist ha immobilizzato il saldo residuo ma non ha permesso di recuperare i fondi già usciti dall'indirizzo. Il progetto ha sospeso il suo bridge cross-chain per prevenire ulteriori attività non autorizzate.

Una società di sicurezza esterna sta ora esaminando i messaggi del bridge, i permessi e i registri degli asset, mentre gli investigatori triano gli indirizzi interessati. Il bridge rimane chiuso senza una data di riapertura, in attesa del completamento della revisione e della validazione della sicurezza.

Emissione Non Autorizzata pari all'1% dell'Offerta Totale

L'entità dell'emissione ha un significato che va oltre i proventi dichiarati del trasferimento. La tokenomics del progetto documenta un'offerta totale di 1 miliardo di CYS, allocata a governance, servizi di calcolo e incentivi di rete. I 10 milioni di unità non autorizzate equivalevano all'1% dell'offerta dichiarata, sollevando interrogativi sulla circolazione non recuperata fino alla conclusione dell'indagine.

L'importo trasferito su Ethereum, tuttavia, non dovrebbe essere considerato una perdita finanziaria confermata. Sebbene le prime rilevazioni abbiano attribuito 306,6 ETH all'attaccante, la fondazione deve ancora stabilire quanto sia stato effettivamente trattenuto. Analogamente, i 2,8 milioni di token bloccati rappresentano una misura di contenimento verificata piuttosto che la prova che alcuni fondi siano stati recuperati.

Le operazioni della mainnet non sono state influenzate durante l'incidente: consenso, produzione di blocchi ed esecuzione delle transazioni sono proseguite normalmente, e gli asset esistenti nei portafogli degli utenti sono rimasti intatti. Il progetto ha inoltre avvertito gli utenti contro finti link di compensazione, proposte di recupero e richieste di chiavi private.

È atteso un rapporto di follow-up che tratterà le perdite verificate, la tracciabilità dei fondi e gli interventi di rimedio — i risultati che determineranno ogni decisione sulla riapertura del bridge.