Atakujący wykorzystał lukę w mostu międzyłańcuchowym Cysic w sieci BNB Smart Chain, aby bez autoryzacji utworzyć 10 milionów CYS. Mosty międzyłańcuchowe przenoszą tokeny między sieciami, przekazując wiadomości między kontraktami, a fałszywa wiadomość w tym przepływie może wywołać nieautoryzowane tworzenie tokenów w łańcuchu docelowym. Cysic następnie umieścił adres odbiorcy na czarnej liście, ograniczając transfery około 2,8 miliona CYS, które pozostały na tym adresie. Fundacja oświadczyła, że żadne aktywa w mainnecie Cysic ani istniejące aktywa w portfelach użytkowników nie zostały naruszone.

Cysic Foundation zawiesił swoje mosty międzyłańcuchowe po zidentyfikowaniu luki w przepływie przetwarzania wiadomości i wybicia tokenów. Fundacja oświadczyła, że incydent dotyczył wyłącznie infrastruktury mostu i nie wpłynął na mechanizm konsensusu mainnetu Cysic, wykonywanie transakcji ani tokeny już posiadane przez użytkowników.

— Cysic Foundation (@cysic_fdn) 18, 2026

— Cysic Foundation (@cysic_fdn) October 18, 2026

Nieautoryzowane wybicie CYS w sieci BNB Smart Chain

Źródłowy raport podaje dwa znaczniki czasu nieautoryzowanego wybicia w sieci BNB Smart Chain: 12:31:38 UTC 17 października 2026 r. oraz 17:31:38 UTC tego samego dnia.

Według wstępnego śledztwa Cysic atakujący uzyskał dostęp do bazy danych używanej przez usługę wspierającą most. Następnie wykorzystał lukę w powiązanej logice przetwarzania, aby wysłać fałszywą wiadomość wybicia, co skutkowało utworzeniem 10 milionów CYS na jednym adresie odbiorcy. Ścieżka ataku — naruszony dostęp do bazy danych usługi wspierającej, a następnie fałszywa wiadomość wybicia — pokazuje, że bezpieczeństwo mostów wykracza poza kontrakty on-chain i obejmuje infrastrukturę off-chain, która je zasil.

Cysic ostrzegł, że liczba nowo utworzonych tokenów nie powinna być traktowana jako ostateczna miara incydentu. Faktyczny wpływ w dolarach, a także ewentualne transfery i wymiany, pozostawały przedmiotem śledztwa. Ponieważ tokeny zostały wybite, a nie odpompowane z portfeli użytkowników, rzeczywisty wpływ zależy od tego, czy nowa podaż zostanie przeniesiona lub wymieniona — pytanie, na które śledztwo jeszcze nie odpowiedziało.

Około 2,8 miliona CYS objętych ograniczeniem

Cysic rozpoczął dodawanie adresu odbiorcy do czarnej listy kontraktu tokena CYS o 13:47:52 UTC, około 76 minut po nieautoryzowanym wybiciu. Ograniczenie zostało aktywowane on-chain i blokowało transfery około 2,8 miliona CYS nadal znajdujących się na tym adresie. Czarna lista na poziomie kontraktu może zatrzymać tokeny na adresie, ale sama w sobie nie odzyskuje ich, dlatego równolegle z zamrożeniem trwało śledzenie środków.

Zespół śledził także dodatkowe 3 380,41 USD przy wsparciu profesjonalnej firmy zajmującej się bezpieczeństwem, według raportu.

Mainnet i istniejące aktywa użytkowników nie zostały naruszone

Cysic oświadczył, że incydent nie naruszył infrastruktury mainnetu. Konsensus, produkcja bloków, potwierdzanie transakcji i wykonywanie w Ethereum Virtual Machine pozostały nienaruszone.

Fundacja dodała również, że nie ma dowodów na kradzież istniejącego CYS innych aktywów z portfeli użytkowników. W przeciwieństwie do exploitów odpompowujących aktywa użytkowników, ten incydent dotyczył nieautoryzowanego utworzenia nowych tokenów na adresie odbiorcy.

Most pozostaje zawieszony w trakcie przeglądu

Cysic zawiesił operacje mostów bezpośrednio po wykryciu incydentu i oświadczył, że usługa nie zostanie przywrócona, dopóki nie zostanie sprawdzony cały przepływ pracy. Śledztwo obejmuje obsługę wiadomości, ustawienia uprawnień, rejestry aktywów i pełną ścieżkę ataku.

Fundacja nie ogłosiła daty wznowienia działania. Most pozostanie zamknięty, dopóki ocena bezpieczeństwa nie zostanie zakończona, a zalecane środki naprawcze zweryfikowane, co oznacza, że transfery międzyłańcuchowe przez mosty Cysic pozostaną w międzyczasie niedostępne.

Cysic oświadczył, że wyda raport follow-up obejmujący ustalenia śledztwa, rzeczywiste straty, postęp w śledzeniu środków oraz ostateczne kroki naprawcze. Te ustalenia, wraz z ewentualnym potwierdzonym przemieszczaniem wybitych tokenów, określą ostateczny zakres incydentu.

Źródło główne: CryptoNinjas

Oficjalny wpis: https://x.com/cysic_fdn/status/2111761749116637687?ref_src=twsrc%5Etfw