Cysicは2026年10月17日、BNB Smart Chain上で1,000万CYSトークンが不正にミントされたことを受け、クロスチェーンブリッジを停止した。

同社はこのインシデントをブリッジのメッセージ処理およびミント機能に限定されるものと説明し、メインネットおよびその他の運用システムは影響を受けていないと述べた。ただし、ブリッジ自体は無期限にオフラインとなっており、復旧の見通しは示されていない。

ブリッジで何が起きたのか

クロスチェーンブリッジは通常、一方のチェーン上で送金を検証し、もう一方のチェーン上で対応する資産の表現をミントする。そのため、メッセージ処理とミント機能が侵害されると、送元チェーンでの預け入れなしにトークンが生成される事態につながり得る。

不正なミントは10月17日12時31分38秒(UTC)に発生した。同日13時47分52秒(UTC)までに、Cysicはトークンを受け取ったアドレスをブラックリストに登録した。

ブラックリスト登録の時点で、新たにミントされたCYSのうち約280万トークンが当該アドレスに残っていた。つまり、1,000万トークンの大半は凍結が発効する前にウォレットを離れていたことになる。

Cysicは第三者セキュリティ専門家を招き、この侵害の調査を進めている。調査チームは、不正利用されたトークンの動きを追跡し、スワップされるかどうかも監視している。

初期所見では、この侵害と不正なデータベースアクセスとの潜在的な関連、およびブリッジの処理ロジックにおける脆弱性が示唆されている。同社は攻撃ベクターの全体および根本原因を確認しておらず、いずれも評価中である。

繰り返される失敗パターン

ブリッジを標的としたミント攻撃は新しい現象ではない。Syscoinは2026年6月に同様のブリッジミント攻撃を受けており、こうしたインシデントは共通の根本的弱点を浮き彫りにし続けている。十分な防御策を欠いたミント機能である。

供給面の状況はこの出来事の重大さを際立たせる。CYSの最大供給量は10億トークンで、トークン生成イベント後の流通量は約1億6,080万トークンだった。この流通量に照らすと、1,000万の不正トークンは供給の意味のある増加となる。

Cysicのこれまでの歩み

Cysicはデュアルトークンモデルを採している。CYSはユーティリティトークンであり、CGTはガバナンスを担い、ステーキングを通じて取得される。今回のブリッジインシデントに関係したのはCYSのみで、CysicはCGTへの影響を報告していない。

同プロジェクトは資金調達ラウンドと一連のテストネットを経て、2025年12月にメインネットをローンチし、CYSのトークン生成イベントを実施した。ローンチ時には、TGEトークンの配布方法や財務の透明性をめぐって批判が寄せられた。

10月のインシデントは、Cysicのブリッジインフラにまつわる初の注目すべき運用上のセキュリティ問題である。

CYS保有者とブリッジ利用者への影響

保有者にとって当面の問題は希薄化である。1,000万トークンが想定されたプロセス外で生成され、うち約280万トークンのみが凍結されたことが確認されている。

一方、ブリッジ利用者は、Cysicのブリッジが再開されるまでCYSをチェーン間で移動できず、再開時期は示されていない。

調査の初期の方向性にも注目が集まる。不正なデータベースアクセスとの関連が確認されれば、弱点はスマートコントラクトコードだけでなく、ブリッジにデータを供給するオフチェーンシステムにあった可能性が示唆される。その場合、セキュリティ議論はオンチェーンコントラクトの監査にとどまらず、ブリッジ運営者が自社のバックエンドシステムをいかに保護するかへと広がることになる。

今後の状況は、調査が攻撃ベクターと根本原因を確認できるか、凍結前にブラックリスト登録アドレスを離れた約720万トークンの行方がどうなるか、そしてCysicがいつ、どのような条件でブリッジサービスを復旧させるか、という3つの展開によって形作られるだろう。