Cysic ha sospeso il suo bridge cross-chain dopo che un attaccante ha sfruttato la sua infrastruttura di elaborazione dei messaggi per emettere 10 milioni di token CYS non autorizzati su BNB Smart Chain, vendendone 7,2 milioni e spostando circa 727.000 dollari di proventi su Ethereum.

L'incidente del 17 ottobre è derivato da un accesso non autorizzato al database e da istruzioni di emissione fraudolente. Cysic ha inserito nella blacklist l'indirizzo del destinatario, immobilizzando i restanti 2,8 milioni di token circa 76 minuti dopo l'emissione non autorizzata.

La Foundation ha confermato in una dichiarazione su X che l'incidente si è limitato all'infrastruttura del bridge. Le operazioni della mainnet di Cysic non sono state influenzate e nessun asset esistente nei wallet degli utenti è stato rubato.

La Violazione del Database Ha Consentito l'Emissione Non Autorizzata di CYS

L'attacco è iniziato alle 12:31:38 UTC del 17 ottobre, quando una transazione di emissione non autorizzata ha creato l'offerta aggiuntiva di CYS su BNB Smart Chain. I rilievi preliminari hanno identificato un accesso non autorizzato a un database a supporto dei servizi cross-chain di Cysic. L'attaccante ha sfruttato una debolezza nella logica di elaborazione dei messaggi del bridge per inviare un'istruzione di emissione fraudolenta che il sistema ha accettato.

L'infrastruttura compromessa gestiva la messaggistica cross-chain e l'emissione di token, non le operazioni di consenso della rete sottostante. I bridge svolgono questo ruolo di verifica ed emissione in modo indipendente dalle catene che collegano, ed è per questo che un difetto nell'elaborazione dei messaggi può creare offerta non autorizzata anche quando la rete sottostante e gli asset detenuti dagli utenti restano intatti. Cysic ha incaricato una società di sicurezza esterna di indagare sul punto di ingresso, sulla vulnerabilità di elaborazione e sui successivi movimenti di fondi.

La documentazione di sicurezza di Cysic indica la verifica dei messaggi del bridge, i controlli di emissione e l'integrità degli asset cross-chain come componenti precedentemente sottoposti a audit. La Foundation non ha ancora divulgato il percorso tecnico completo dell'attacco.

L'Attaccante Ha Venduto 7,2 Milioni di CYS Prima del Congelamento del Wallet

Il tracciamento delle transazioni onchain indica che l'attaccante ha iniziato a spostare i token entro cinque minuti dall'emissione non autorizzata. Circa 5,65 milioni di CYS sono stati venduti per 588.315 USDT nella prima fase di transazioni. Altri 1,55 milioni di CYS sono stati successivamente scambiati per circa 220 BNB, operazioni instradate attraverso infrastrutture di exchange decentralizzate, tra cui PancakeSwap.

I proventi sono passati da BNB Chain a Ethereum tramite i servizi di Mayan, deBridge e Bridgers di SWFT. L'indirizzo di ricezione ha accumulato circa 306,6 ETH, valutati intorno a 727.000 dollari in base ai prezzi di Ethereum del 18 ottobre.

Cysic ha inserito nella blacklist l'indirizzo CYS dell'attaccante alle 13:47:52 UTC, una misura di congelamento che ha impedito ulteriori trasferimenti del saldo rimanente. La restrizione non ha interessato gli ETH già spostati su Ethereum, dove il tracciamento delle transazioni ha identificato un successivo trasferimento verso un altro indirizzo.

L'emissione non autorizzata ha rappresentato circa il 6,2% dell'offerta circolante di 160,8 milioni di CYS e l'1% dell'offerta totale di 1 miliardo di token. Il numero di token creati è separato dai proventi realizzati dall'attaccante, e Cysic non ha ancora stabilito una cifra definitiva per le perdite finanziarie né recuperato gli ETH trasferiti tramite bridge.

Il Bridge Resta Sospeso in Attesa della Revisione di Sicurezza

L'exploit ha comportato la creazione non autorizzata di token anziché un prelievo diretto da un pool di liquidità di un bridge, configurandosi come un fallimento dell'integrità dell'offerta dello stesso tipo che ha interessato il bridge Sys a giugno, quando un difetto di validazione ha prodotto circa 5 miliardi di output SYS non autorizzati. Incidenti comparabili illustrano l'entità del rischio: a febbraio 2022, un difetto di verifica delle firme nel bridge Wormhole ha consentito l'emissione di 120.000 wrapped ETH senza copertura, allora valutati oltre 300 milioni di dollari, e il mese successivo il bridge Ronin ha perso oltre 600 milioni di dollari dopo che attaccanti hanno ottenuto la maggioranza delle chiavi dei suoi validatori. I bridge cross-chain sono stati ripetutamente presi di mira dagli attaccanti perché possono creare o spostare asset su più reti blockchain.

L'infrastruttura cross-chain di Cysic resta sospesa mentre gli investigatori esaminano il database compromesso, le istruzioni di emissione fraudolente e i restanti asset controllati dall'attaccante. La Foundation intende pubblicare un rapporto successivo sull'incidente che copra le perdite finanziarie verificate, il tracciamento dei fondi e le misure di bonifica. Non è stata annunciata alcuna data di riapertura per il bridge.