Cysic heeft zijn cross-chain bridge opgeschort nadat een aanvaller de infrastructuur voor berichtverwerking exploiteerde om 10 miljoen onbevoegde CYS-tokens te munten op BNB Smart Chain, waarvan 7,2 miljoen werden verkocht en circa $727.000 aan opbrengsten naar Ethereum werd verplaatst.

Het incident van 17 oktober was het gevolg van onbevoegde databasetoegang en frauduleuze muntinstructies. Cysic zette het adres van de ontvanger op de blacklist, waarmee de resterende 2,8 miljoen tokens ongeveer 76 minuten na de onbevoegde uitgifte werden geïmmobiliseerd.

De Foundation bevestigde in een verklaring op X dat het incident beperkt bleef tot de bridge-infrastructuur. De mainnet-operaties van Cysic waren onaangetast en er zijn geen bestaande walletactiva van gebruikers gestolen.

Databasestreuk Maakte Onbevoegde CYS-munting Mogelijk

De aanval begon op 17 oktober om 12:31:38 UTC, toen een onbevoegde munttransactie de extra CYS-aanbieding creëerde op BNB Smart Chain. Voorlopige bevindingen wezen op onbevoegde toegang tot een database die Cysic's cross-chain diensten ondersteunt. De aanvaller exploiteerde een zwakte in de berichtverwerkingslogica van de bridge om een frauduleuze muntinstructie in te dienen die het systeem accepteerde.

De gecompromitteerde infrastructuur verzorgde cross-chain berichtenverkeer en tokenuitgifte, niet de consensusoperaties van het onderliggende netwerk. Bridges vervullen deze verificatie- en uitgiftetaak onafhankelijk van de ketens die ze verbinden, en dat is de reden waarom een fout in de berverwerking een onbevoegde aanbieding kan creëeren, zelfs wanneer het onderliggende netwerk en de activa in handen van gebruikers intact blijven. Cysic heeft een extern beveiligingsbedrijf ingeschakeld om het toegangspunt, de verwerkingskwetsbaarheid en de daaropvolgende geldstromen te onderzoeken.

Cysic's beveiligingsdocumentatie vermeldt bridgeberichtverificatie, muntcontroles en cross-chain activaintegriteit als eerder geauditeerde componenten. De Foundation heeft het volledige technische aanvalspad nog niet openbaar gemaakt.

Aanvaller Verkocht 7,2 Miljoen CYS Vóór Walletbevriezing

Onchain-transactietracking toont aan dat de aanvaller binnen vijf minuten na de onbevoegde munting begon met het verplaatsen van tokens. Ongeveer 5,65 miljoen CYS werden in de eerste ronde van transacties verkocht voor 588.315 USDT. Nog eens 1,55 miljoen CYS werden vervolgens geruild voor circa 220 BNB, waarbij de transacties werden geleid via gedecentraliseerde exchange-infrastructuur, waaronder PancakeSwap.

De opbrengsten werden van BNB Chain naar Ethereum verplaatst via Mayan, deBridge en SWFT's Bridgers-dienst. Het ontvangende adres verzamelde ongeveer 306,6 ETH, gewaardeerd op circa $727.000 op basis van de Ethereum-koers van 18 oktober.

Cysic zette het CYS-adres van de aanvaller om 13:47:52 UTC op de blacklist, een bevriezingsmaatregel die verdere transfers van het resterende saldo voorkwam. De beperking had geen invloed op de ETH die al naar Ethereum was verplaatst, waar transactietracking een daaropvolgende transfer naar een ander adres identificeerde.

De onbevoegde uitgifte vertegenwoordigde circa 6,2% van de circulerende aanbieding van 160,8 miljoen CYS en 1% van de totale aanbieding van 1 miljard tokens. Het aantal gecreëerde tokens staat los van de gerealiseerde opbrengsten van de aanvaller, en Cysic heeft nog geen definitief financieel verliescijfer vastgesteld of de gebrugde ETH teruggevorderd.

Bridge Blijft Geschorst in Afwachting van Beveiligingsonderzoek

De exploit betrof onbevoegde tokencreatie in plaats van een directe opname uit een bridge-liquiditeitspool, waarmee het een faalcase van aanbiedingsintegriteit is van het soort dat in juni de Sys-bridge trof, toen een validatiefout circa 5 miljard onbevoegde SYS-outputs produceerde. Vergelijkbare incidenten illustreren de omvang van het risico: in februari 2022 stond een handtekeningverificatiefout in de Wormhole-bridge toe dat 120.000 wrapped ETH zonder dekking werd gemunt, destijds gewaardeerd op meer dan $300 miljoen, en in de daaropvolgende maand verloor de Ronin-bridge meer dan $600 miljoen nadat aanvallers een meerderheid van de validator-sleutels hadden verkregen. Cross-chain bridges zijn herhaaldelijk het doelwit geweest van aanvallers omdat ze activa over meerdere blockchainnetwerken kunnen creëren of verplaatsen.

De cross-chain infrastructuur van Cysic blijft geschorst terwijl onderzoekers de gecompromitteerde database, de frauduleuze muntinstruct en de resterende activa in handen van de aanvaller onderzoeken. De Foundation is van plan een vervolgrapport over het incident uit te brengen met daarin geverifieerde financiële verliezen, tracering van fondsen en herstelmaatregelen. Er is geen heropeningsdatum voor de bridge aangekondigd.