Cysic ha sospeso il proprio bridge cross-chain dopo che un attaccante ha creato 10 milioni di token CYS non autorizzati su BNB Smart Chain il 17 ottobre 2026. Secondo i dati citati dall'azienda, l'attaccante ha venduto circa 7,2 milioni dei token appena creati e ha trasferito circa 306,6 ETH, del valore di circa 727.000 dollari, su Ethereum prima del congelamento dei restanti 2,8 milioni di CYS. Cysic ha dichiarato che l'incidente non ha avuto impatto sulla propria mainnet né sugli asset degli utenti esistenti.

Gli attaccanti sfruttano il sistema di elaborazione dei messaggi del bridge

L'attaccante ha approfittato di vulnerabilità nel sistema di elaborazione dei messaggi del bridge, secondo un rapporto sull'incidente pubblicato su X dalla Cysic Foundation. I risultati preliminari indicano un accesso non autorizzato a un database che supporta il funzionamento del bridge, anche se gli investigatori non hanno ancora verificato l'intera tecnica di attacco.

I bridge cross-chain trasferiscono asset e messaggi tra blockchain altrimenti separate, e gli exploit del settore si sono spesso concentrati sui componenti che verificano e trasmettono tali messaggi piuttosto che sulle blockchain stesse. Questa architettura spiega anche la separazione descritta da Cysic: un bridge costruito sul proprio livello di elaborazione dei messaggi e di database può guastarsi senza toccare la produzione di blocchi, la conferma delle transazioni o l'esecuzione EVM sulla mainnet.

Cysic ha confermato la violazione e la risposta di emergenza con una dichiarazione su X:

On Oct 17, a security incident involving the unauthorized minting of 10M CYS occurred through the Cysic bridge. Our team responded swiftly. User wallets and mainnet operations remain unaffected. The bridge remains suspended pending security review. Full update below. 👇

— Cysic (@cysic_xyz) October 18, 2026

L'attacco è stato effettuato il 17 ottobre alle 12:31:38 UTC, generando 10 milioni di token CYS aggiuntivi su BNB Smart Chain mai autorizzati. La fondazione ha definito l'evento un guasto di sicurezza isolato del bridge.

Cysic ha dichiarato che l'incidente non ha avuto effetto sulle operazioni della propria mainnet. Il sistema bridge compromesso non ha interferito con la produzione di blocchi, la conferma delle transazioni o l'esecuzione di transazioni EVM, e non ci sono stati furti o trasferimenti non autorizzati di asset esistenti dai wallet degli utenti, secondo la fondazione.

La creazione non autorizzata di token ha però permesso all'attaccante di vendere i CYS appena creati sul mercato aperto. L'attaccante avrebbe smaltito circa 7,2 milioni di token in 23 minuti, un episodio che ha riacceso l'attenzione sulla sicurezza dei bridge cross-chain e sui rischi legati all'emissione non autorizzata di token.

L'attaccante ha anche inviato circa 727.000 dollari in ETH — circa 306,6 ETH — su Ethereum. Secondo quanto riportato, ha utilizzato Bridgers di SWFT, deBridge e Mayan per spostare ilaro. Tuttavia, il team sta ancora lavorando per ricostruire la cronologia completa delle transazioni e determinare se sia possibile un ulteriore recupero dei proventi.

Token rimanenti congelati e bridge mantenuto offline

In risposta alla violazione, Cysic ha sospeso il proprio bridge cross-chain e ha limitato l'indirizzo del wallet dell'attaccante. La fondazione ha inoltre incaricato una società di sicurezza professionale di indagare sull'incidente e tracciare il flusso dei fondi. Il bridge resta chiuso nel frattempo, mentre il team esamina i propri sistemi di sicurezza.

Secondo la cronologia dell'incidente riportata, Cysic ha inserito in blacklist l'indirizzo del wallet destinatario alle 13:47:52 UTC, poco più di un'ora dopo la creazione non autorizzata. I restanti 2,8 milioni di token CYS sono stati successivamente "congelati", il che significa che nessun ulteriore trasferimento di tali token poteva essere effettuato dall'indirizzo limitato.

Sebbene l'attaccante avesse già venduto milioni di token a quel punto, la risposta è riuscita a contenere l'incidente. La fondazione non ha ancora stabilito l'impatto finanziario definitivo della creazione non autorizzata, e il numero di token prodotti non riflette necessariamente il loro valore in dollari o l'entità delle perdite effettive.

Cysic ha anche sottolineato una distinzione importante: i token appena creati non sono la stessa cosa dei token rubati da wallet esistenti. L'azienda ha ribadito che l'incidente non ha interessato i wallet degli utenti né la mainnet, ma gli utenti devono attendere gli aggiornamenti ufficiali prima di effettuare qualsiasi transazione cross-chain.

La fondazione non ha ancora indicato quando riprenderà i servizi di bridge. La sospensione resterà in vigore come precauzione finché gli investigatori non determineranno come la vulnerabilità sia stata sfruttata e come si sia acceduto al database di supporto. I prossimi aggiornamenti di Cysic dovrebbero spiegare la causa dell'interruzione, le misure di risoluzione in corso e le condizioni necessarie per il ripristino del servizio.

Con i 2,8 milioni di CYS congelati ancora legati all'indirizzo in blacklist, il lavoro di tracciamento dei fondi rimane il filone principale da seguire, insieme alla verifica in sospeso dell'intera tecnica di attacco e a qualsiasi decisione sulla ripresa delle operazioni del bridge.

Per il momento, l'incidente evidenzia i rischi di sicurezza associati ai bridge cross-chain e ai loro sistemi di elaborazione dei messaggi. Cysic ha limitato l'indirizzo interessato, ma le indagini continuano.

Questo articolo è basato su un servizio di Live Bitcoin News.