Cysic heeft zijn cross-chain bridge geschorst nadat een aanvaller 10 miljoen ongeautoriseerde CYS-tokens mintte op BNB Smart Chain en de gerapporteerde opbrengsten naar Ethereum verplaatste. De inbreuk op 17 oktober was het gevolg van foutieve authenticatie van de bridge-berichten die tokenuitgifte autoriseren, aldus de account van het project over het incident.

Details van de ongeautoriseerde mint kwamen naar voren in een incidentrapport van 18 oktober gepubliceerd door de Cysic Foundation. Volgens het rapport vond de frauduleuze mint plaats om 12:31:38 UTC. Onderzoekers spoorden de inbreuk terug naar ongeautoriseerde toegang tot een bridge-database. De aanvaller misbruikte vervolgens een kwetsbaarheid in de berichtverwerking om frauduleuze mint-instructies in te dienen zonder bijbehorende activatransfer, waardoor het protocol tokens uitgaf zonder onderliggende storting ter ondersteuning.

Vroege on-chain activiteit die in eerste berichtgeving werd aangehaald, verbond het incident met de verkoop van 7,2 miljoen tokens, waartegen circa 306,6 ETH op Ethereum werd ontvangen. Die opbrengsten werden gewaardeerd op ongeveer $727.000, hoewel de foundation de volledige transactiespoor nog niet heeft geverifieerd of de uiteindelijke verliezen heeft vastgesteld.

Hoe de Aanvaller 10M CYS Mintte

Cross-chain bridges vertrouwen op geauthenticeerde berichten om transfers tussen blockchains te herkennen en bijbehorende assets vrij te geven. In dit geval zorgden frauduleuze instructies ervoor dat het systeem tokens mintte zonder enige legitieme transfer als onderbouwing. De inbreuk draaide daarom om de validatie van bridge-berichten in plaats van om een falen in de consensus van het onderliggende netwerk. Omdat een enkel geaccepteerde instructie uitgifte op de doelketen kan triggeren, concentreert deze validatielaag het vertrouwen van de gehele bridge, en gebreken op dit punt zijn een terugkerende categorie van cross-chain securityfalen. De hier vastgestelde databasetoegang illustreert ook dat bridgerisico verder reikt dan on-chain code naar de off-chain systemen die deze voeden.

Cysic plaatste het ontvangende adres om 13:47:52 UTC op de blacklist, circa 76 minuten na de mint. Op dat moment bevonden zich nog 2,8 miljoen tokens — 28% van de uitgifte — in het geblokkeerde wallet, terwijl de overige 7,2 miljoen, ofwel 72%, het adres al hadden verlaten. De blacklist blokkeerde het resterende saldo, maar kon fondsen die het adres al hadden verlaten niet terugvorderen. Het project schortte zijn cross-chain bridge op om verdere ongeautoriseerde activiteit te voorkomen.

Een extern securitybedrijf onderzoekt momenteel bridge-berichten, machtigingen en activarecords, terwijl onderzoekers de getroffen adressen natrekken. De bridge blijft gesloten zonder heropendingsdatum, in afwachting van de voltooiing van de securitybeoordeling en validatie.

Ongeautoriseerde Mint Komt Overeen Met 1% van Totale Voorraad

De omvang van de uitgifte is van belang buiten de gerapporteerde transferopbrengsten om. De tokenomics van het project documenteren een totale voorraad van 1 miljard CYS, toegewezen aan governance, computerdiensten en netwerkincentives. De 10 miljoen ongeautoriseerde eenheden kwamen overeen met 1% van die vermelde voorraad, wat vragen oproept over niet-teruggewonnen circulatie totdat het onderzoek is afgerond.

Het bedrag dat naar Ethereum is overgebracht, mag echter niet worden beschouwd als een bevestigd financieel verlies. Hoewel initiële tracking 306,6 ETH aan de aanvaller toeschreef, moet de foundation nog vaststellen hoeveel uiteindelijk is behouden. Evenzo vertegenwoordigen de 2,8 miljoen geblokkeerde tokens een geverifieerde beheersmaatregel rather dan bewijs dat fondsen zijn teruggevorderd.

De mainnet-operaties waren tijdens het incident onaangetast: consensus, blockproductie en transactie-uitvoering verliepen normaal, en bestaande assets in de wallets van gebruikers bleven intact. Het project heeft gebruikers ook gewaarschuwd voor valse compensatielinks, herstelvoorstellen en verzoeken om privésleutels.

Een vervolgrapport wordt verwacht dat geverifieerde verliezen, het natrekken van fondsen en herstelmaatregelen behandelt — de bevindingen die bepalend zijn voor een beslissing over het heropenen van de bridge.