Cysic wstrzymał swój most międzyłańcuchowy po tym, jak atakujący wybił 10 milionów nieautoryzowanych tokenów CYS w BNB Smart Chain i przeniósł zgłaszane środki do Ethereum. Przełamanie zabezpieczeń 17 października wynikało z wadliwego uwierzytelniania komunikatów mostu autoryzujących emisję tokenów, według relacji projektu na temat incydentu.

Szczegóły nieautoryzowanej emisji wyszły na jaw w raporcie o incydencie z 18 października opublikowanym przez Cysic Foundation. Zgodnie z raportem fałszywa emisja miała miejsce o 12:31:38 UTC. Śledczy prześledzili przełamanie zabezpieczeń do nieautoryzowanego dostępu do bazy danych mostu. Atakujący wykorzystał następnie podatność w przetwarzaniu komunikatów, aby przesłać fałszywe instrukcje emisji bez odpowiedniego transferu aktywów, co spowodowało, że protokół wyemitował tokeny bez żadnego zdeponowanego zabezpieczenia.

Początkowa aktywność on-chain, przywołana we wczesnych doniesieniach, powiązała incydent ze sprzedażą 7,2 miliona tokenów, za którą otrzymano około 306,6 ETH w Ethereum. Wartość tych środków oszacowano na około 727 000 USD, choć foundation nie zweryfikował pełnego śladu transakcji ani nie ustalił ostatecznych strat.

Jak Atakujący Wybił 10M CYS

Mosty międzyłańcuchowe opierają się na uwierzytelnionych komunikatach do rozpoznawania transferów między blockchainami i uwalniania odpowiadających im aktywów. W tym przypadku fałszywe instrukcje spowodowały, że system wybił tokeny bez żadnego legalnego transferu stanowiącego zabezpieczenie. Przełamanie zabezpieczeń dotyczyło zatem walidacji komunikatów mostu, a nie załamania konsensusu sieci bazowej. Ponieważ pojedyncza zaakceptowana instrukcja może uruchomić emisję na łańcuchu docelowym, ta warstwa walidacji koncentruje zaufanie całego mostu, a wady w tym miejscu stanowią powtarzający się rodzaj awarii bezpieczeństwa międzyłańcuchowego. Zidentyfikowany tutaj dostęp do bazy danych pokazuje również, że ryzyko mostu wykracza poza kod on-chain, obejmując systemy off-chain, które go zasilają.

Cysic umieścił adres odbiorczy na czarnej liście o 13:47:52 UTC, około 76 minut po emisji. W tym momencie 2,8 miliona tokenów — 28% emisji — znajdowało się jeszcze wablokowanym portfelu, podczas gdy pozostałe 7,2 miliona, czyli 72%, opuściło już adres. Umieszczenie na czarnej liście unieruchomiło pozostałe saldo, ale nie pozwoliło odzyskać środków, które opuściły adres. Projekt wstrzymał swój most międzyłańcuchowy, aby zapobiec dalszej nieautoryzowanej działalności.

Zewnętrzna firma bezpieczeństwa analizuje obecnie komunikaty mostu, uprawnienia i rejestry aktywów, a śledczy śledzą dotknięte adresy. Most pozostaje zamknięty bez ustalonej daty ponownego otwarcia, w oczekiwaniu na zakończenie przeglądu bezpieczeństwa i walidacji.

Nieautoryzowana Emisja Stanowi 1% Całkowitej Podaży

Skala emisji ma znaczenie wykraczające poza zgłaszane środki z transferu. Tokenomia projektu dokumentuje całkowitą podaż 1 miliarda CYS, przeznaczoną na zarządzanie, usługi obliczeniowe i zachęty sieciowe. 10 milionów nieautoryzowanych jednostek stanowiło 1% tej deklarowanej podaży, co rodzi pytania o niewydobyte środki w obiegu do czasu zakończenia dochodzenia.

Kwota przeniesiona do Ethereum nie powinna jednak być traktowana jako potwierdzona strata finansowa. Chociaż początkowe śledzenie przypisało atakującemu 306,6 ETH, foundation nie ustalił jeszcze, ile ostatecznie zatrzymano. Podobnie 2,8 miliona zablokowanych tokenów stanowi potwierdzony środek powstrzymania, a nie dowód na odzyskanie jakichkolwiek środków.

Działanie mainnetu pozostało niezagrożone przez cały incydent: konsensus, produkcja bloków i realizacja transakcji przebiegały normalnie, a istniejące aktywa w portfelach użytkowników pozostały nienaruszone. Projekt ostrzegł również użytkowników przed fałszywymi linkami do odszkodowań, propozycjami odzyskiwania środków i prośbami o klucze prywatne.

Spodziewany jest kolejny raport, który omówi zweryfikowane straty, śledzenie środków i działania naprawcze — ustalenia, które ukształtują ewentualną decyzję o ponownym otwarciu mostu.