Cysic Zatrzymuje Most Po Exploicie Wybijającym 10 Mln CYS i Przenoszącym 727 Tys. USD do Ethereum
Najważniejsze informacje
- •Atakujący uzyskał nieautoryzowany dostęp do bazy danych wspierającej usługi cross-chain Cysic i wykorzystał wadę w logice przetwarzania wiadomości mostu, aby wybić 10 milionów tokenów CYS w BNB Smart Chain 17 października.
- •Atakujący sprzedał 7,2 miliona wybitych tokenów, w tym około 5,65 miliona CYS za 588 315 USDT oraz 1,55 miliona za około 220 BNB, a następnie przeniósł około 727 000 USD zysków do Ethereum za pośrednictwem usług cross-chain.
- •Cysic umieścił adres atakującego na czarnej liście około 76 minut po nieautoryzowanej emisji, unieruchamiając pozostałe 2,8 miliona tokenów, lecz środki już przeniesione do Ethereum pozostały poza zasięgiem.
- •Nieautoryzowana emisja stanowiła około 6,2% krążącej podaży CYS wynoszącej 160,8 miliona oraz 1% całkowitej podaży 1 miliard, przy czym operacje mainnetu Cysic i aktywa użytkowników w portfelach pozostały nienaruszone.
- •Most pozostaje zawieszony, podczas gdy zewnętrzna firma bezpieczeństwa bada punkt wejścia i podatność w przetwarzaniu, a Cysic nie ustalił ostatecznej straty finansowej ani nie ogłosił daty wznowienia działania.
Cysic zawiesił swój most cross-chain po tym, jak atakujący wykorzystał infrastrukturę przetwarzania wiadomości do wybijania 10 milionów nieautoryzowanych tokenów CYS w BNB Smart Chain, sprzedając 7,2 miliona z nich i przenosząc około 727 000 USD zysków do Ethereum.
Incydent z 17 października wynikał z nieautoryzowanego dostępu do bazy danych i fałszywych instrukcji bicia tokenów. Cysic umieścił adres odbiorcy na czarnej liście, unieruchamiając pozostałe 2,8 miliona tokenów około 76 minut po nieautoryzowanej emisji.
Fundacja potwierdziła w oświadczeniu na X, że incydent dotyczył wyłącznie infrastruktury mostu. Operacje mainnetu Cysic nie zostały naruszone, a żadne aktywa z istniejących portfeli użytkowników nie zostały skradzione.
Włamanie do Bazy Danych Umożliwiło Nieautoryzowane Bicie CYS
Atak rozpoczął się 17 października o 12:31:38 UTC, gdy nieautoryzowana transakcja bicia utworzyła dodatkową podaż CYS w BNB Smart Chain. Wstępne ustalenia wskazały na nieautoryzowany dostęp do bazy danych wspierającej usługi cross-chain Cysic. Atakujący wykorzystał słabość w logice przetwarzania wiadomości mostu aby przesłać fałszywą instrukcję bicia, którą system zaakceptował.
Skompromitowana infrastruktura obsługiwała wiadomości cross-chain i emisję tokenów, a nie operacje konsensusu sieci podstawowej. Mosty pełnią tę rolę weryfikacji i emisji niezależnie od łańcuchów, które łączą — dlatego wada w przetwarzaniu wiadomości może stworzyć nieautoryzowaną podaż, nawet gdy sieć podstawowa i aktywa posiadane przez użytkowników pozostają nienaruszone. Cysic zaangażował zewnętrzną firmę bezpieczeństwa do zbadania punktu wejścia, podatności w przetwarzaniu oraz późniejszych przepływów środków.
Dokumentacja bezpieczeństwa Cysic wymienia weryfikację wiadomości mostu, kontrole bicia oraz integralność aktywów cross-chain jako wcześniej audytowane komponenty. Fundacja nie ujawniła jeszcze pełnej technicznej ścieżki ataku.
Atakujący Sprzedał 7,2 Mln CYS Przed Zamrożeniem Portfela
Śledzenie transakcji onchain wskazuje, że atakujący rozpoczął przenoszenie tokenów w ciągu pięciu minut od nieautoryzowanego bicia. około 5,65 miliona CYS sprzedano za 588 315 USDT w pierwszej serii transakcji. Kolejne 1,55 miliona CYS wymieniono następnie na około 220 BNB, a transakcje przeprowadzono przez infrastrukturę zdecentralizowanych giełd, w tym PancakeSwap.
Zyski przeniesiono z BNB Chain do Ethereum za pośrednictwem Mayan, deBridge oraz usługi Bridgers firmy SWFT. Adres odbiorczy zgromadził około 306,6 ETH, wycenianych na około 727 000 USD według cen Ethereum z 18 października.
Cysic umieścił adres CYS atakującego na czarnej liście o 13:47:52 UTC — środek zamrażający, który uniemożliwił dalsze transfery pozostałego salda. Ograniczenie nie objęło ETH już przeniesionego do Ethereum, gdzie śledzenie transakcji wykryło późniejszy transfer na inny adres.
Nieautoryzowana emisja stanowiła około 6,2% krążącej podaży 160,8 miliona CYS oraz 1% całkowitej podaży tokenu wynoszącej 1 miliard. Liczba utworzonych tokenów jest odrębna od zrealizowanych zysków atakującego, a Cysic nie ustalił ostatecznej straty finansowej ani nie odzyskał przeniesionych ETH.
Most Pozostaje Zawieszony do Czasu Przeglądu Bezpieczeństwa
Exploit obejmował nieautoryzowane tworzenie tokenów, a nie bezpośrednie wypłacenie środków z puli płynności mostu, co czyni go naruszeniem integralności podaży tego rodzaju, jakie dotknęło most Sys w czerwcu, gdy wada walidacji wygenerowała około 5 miliardów nieautoryzowanych SYS. Porównywalne incydenty ilustrują skalę ryzyka: w lutym 2022 roku wada weryfikacji podpisów w moście Wormhole umożliwiła wybicie 120 000 wrapped ETH bez zabezpieczenia, wówczas wycenianych na ponad 300 milionów dolarów, a miesiąc później most Ronin stracił ponad 600 milionów dolarów, po tym jak atakujący uzyskali większość kluczy walidatorów. Mosty cross-chain są wielokrotnie celem ataków, ponieważ mogą tworzyć lub przenosić aktywa między wieloma sieciami blockchain.
Infrastruktura cross-chain Cysic pozostaje zawieszona, podczas gdy śledczy badają skompromitowaną bazę danych, fałszywe instrukcje bicia oraz pozostałe aktywa kontrolowane przez atakującego. Fundacja zamierza opublikować kolejny raport z incydentu obejmujący zweryfikowane straty finansowe, śledzenie środków oraz środki naprawcze. Nie ogłoszono daty wznowienia działania mostu.
