Cysicブリッジのエクスプロイトで1000万CYSが不正鋳造、280万トークンがBNBチェーン上で凍結
重要ポイント
- •攻撃者はブリッジ支援サービスが使用するデータベースにアクセスし、不正なミントメッセージを送信して、2026年10月17日にBNB Smart Chain上の単一の受取アドレスで1000万CYSを鋳造しました。
- •Cysicはミントの約76分後に受取アドレスをCYSトークンコントラクトのブラックリストに追加し、同所に残る約280万CYSの転送を制限しました。
- •財団は、メインネットのコンセンサス、ブロック生成、トランザクション確認、仮想マシン実行は影響を受けておらず、ユーザーのウォレットから資産が盗まれたことを示す証拠はないと述べています。
- •Cysicのすべてのクロスチェーンブリッジ運用は再開時期未定のまま停止されており、再開はセキュリティレビューの完了と是正措置の検証を条件としています。
- •鋳造されたトークンがまだ移動・スワップされていないため、実際の財務影響は未確定であり、損失、資金追跡、是正措置に関するフォローアップ報告が予定されています。
攻撃者はBNB Smart Chain上のCysicクロスチェーンブリッジのエクスプロイトを利用し、1000万CYSを不正に鋳造しました。クロスチェーンブリッジはコントラクト間でメッセージを中継することでトークンをネットワーク間で移動させる仕組みであり、このフローにおける不正なメッセージは移動先チェーンでの不正なトークン生成を引き起こす可能性があります。Cysicはその後、受取アドレスをブラックリストに登録し、同アドレスに残る約280万CYSの転送を制限しました。財団によると、Cysicメインネット上の資産やユーザーのウォレット内の既存資産には影響がなかったといいます。
Cysic Foundationは、メッセージ処理およびトークン鋳造フローにおける脆弱性を特定した後、クロスチェーンブリッジを停止しました。財団は、今回の事故はブリッジインフラに限られたものでありCysicメインネットのコンセンサスメカニズム、トランザクション実行、ユーザーがすでに保有するトークンには影響していないと述べています。
— Cysic Foundation (@cysic_fdn) October 18, 2026
— Cysic Foundation (@cysic_fdn) October 18, 2026
BNB Smart Chain上での不正なCYS鋳造
提供された報告では、BNB Smart Chain上での不正なミントについて2つの時刻が示されています。2026年10月17日の12:31:38 UTCと、同日の17:31:38 UTCです。
Cysicの予備調査によると、攻撃者はブリッジを支援するサービスが使用するデータベースへのアクセスを獲得しました。その後、攻撃者は関連する処理ロジックの脆弱性を突いて不正なミントメッセージを送信し、単一の受取アドレスで1000万CYSが鋳造される結果となりました。この攻撃経路――支援サービスのデータベースアクセスの侵害に続く不正なミントメッセージ――は、ブリッジのセキュリティがオンチェーンのコントラクトだけでなく、それにデータを供給するオフチェーンインフラにも及ぶことを示しています。
Cysicは、新たに鋳造されたトークンの数量を事故の最終的な指標とみなすべきではないと注意を促しました。実際のドル建て影響額や転送・スワップの状況は調査中でした。トークンはユーザーのウォレットから引き出されたのではなく鋳造されたものであるため、実際の影響は新しい供給が移動またはスワップされるかどうかに左右されますが、この点は調査時点で未解決でした。
約280万CYSが制限対象に
Cysicは13:47:52 UTC、不正なミントから約76分後に、CYSトークンコントラクトのブラックリストへの受取アドレスの追加を開始しました。この制限はオンチェーンで有効化され、同アドレスに残る約280万CYSの転送を阻止しています。コントラクトレベルのブラリストはトークンがアドレスから出るのを防ぐことはできますが、それ自体でトークンを回復することはできず、そのため凍結と並行して資金追跡作業が続けられています。
報告によると、チームはプロのセキュリティ企業の支援を受けて、追加の3,380.41ドルの追跡も行っています。
メインネットと既存のユーザー資産への影響なし
Cysicは、今回の事故でメインネットのインフラは侵害されていないと述べました。コンセンサス、ブロック生成、トランザクション確認、Ethereum Virtual Machineの実行はいずれも影響を受けていません。
財団はまた、ユーザーのウォレットから既存のCYSやその他の資産が盗まれたことを示す証拠はないと述べました。ユーザーが保有する資産を引き出すタイプのエクスプロイトとは異なり、今回の事故は受取アドレスでの新規トークンの不正生成を伴うものでした。
レビュー中もブリッジは停止を継続
Cysicは事故を検知した直後にブリッジの運用を停止し、ワークフロー全体のレビューが完了するまでサービスは再開されないと述べました。調査はメセージ処理、権限設定、資産記録、および攻撃経路全体を対象としています。
財団は再開時期を発表していません。ブリッジはセキュリティ評価が完了し、推奨された是正措置が検証されるまで閉鎖されたままとなり、その間、Cysicのブリッジを経由するクロスチェーン送金は利用できません。
Cysicは、調査の結果、実際の損失、資金追跡の進捗、最終的な是正措置を含むフォローアップ報告を行うと述べました。これらの調査結果は、鋳造されたトークンの動きの確認とともに、今回の事故の最終的な影響範囲を決定することになります。
一次情報源: CryptoNinjas
公式投稿: https://x.com/cysic_fdn/status/2111761749116637687?ref_src=twsrc%5Etfw
