Эксплойт моста Cysic: создано 10 млн CYS, 2,8 млн токенов заморожены в сети BNB Chain
Ключевые выводы
- •Злоумышленник получил доступ к базе данных сервиса, поддерживающего мост, и отправил поддельное сообщение о выпуске, создав 10 млн CYS на одном адресе получателя в сети BNB Smart Chain 17 октября 2026 года.
- •Cysic добавила адрес получателя в черный список контракта токена CYS примерно через 76 минут после выпуска, заблокировав переводы около 2,8 млн CYS, оставшихся на адресе.
- •Фонд заявил, что консенсус, производство блоков, подтверждение транзакций и исполнение в виртуальной машине основной сети не пострадали, а доказательств кражи активов из кошельков пользователей нет.
- •Работа всех кроссчейн-мостов Cysic приостановлена без даты возобновления; восстановление зависит от завершения проверки безопасности и подтверждения исправлений.
- •Фактический финансовый ущерб остается неопределенным, так как выпущенные токены не были перемещены или обменены; планируется последующий отчет о потерях, отслеживании средств и мерах по исправлению.
Злоумышленник использовал уязвимость в кроссчейн-мосте Cysic в сети BNB Smart Chain, чтобы несанкционированно создать 10 млн токенов CYS. Кроссчейн-мосты перемещают токены между сетями, передавая сообщения между контрактами, и поддельное сообщение в этом процессе может вызвать несанкционированное создание токенов в целевой цепочке. Впоследствии Cysic добавила адрес получателя в черный список, ограничив переводы примерно 2,8 млн CYS, оставшихся на этом адресе. По словам фонда, активы в основной сети Cysic и существующие активы в кошельках пользователей не пострадали.
Фонд Cysic приостановил работу своих кроссчейн-мостов после обнаружения уязвимости в процессе обработки сообщений и выпуска токенов. Фонд заявил, что инцидент затронул только инфраструктуру моста и не повлиял на механизм консенсуса основной сети Cysic, исполнение транзакций или токены, уже находящиеся у пользователей.
— Cysic Foundation (@cysic_fdn) October 18, 2026
— Cysic Foundation (@cysic_fdn) October 18, 2026
Несанкционированный выпуск CYS в сети BNB Smart Chain
В исходном отчете указаны две метки времени несанкционированного выпуска в сети BNB Smart Chain: 12:31:38 UTC 17 октября 2026 года и 17:31:38 UTC того же дня.
Согласно предварительному расследованию Cysic, злоумышленник получил доступ к базе данных, которую использовал сервис, поддерживающий мост. Затем он использовал уязвимость в связанной логике обработки, чтобы отправить поддельное сообщение о выпуске, в результате чего на одном адресеателя было создано 10 млн CYS. Вектор атаки — компрометация доступа к базе данных вспомогательного сервиса с последующим поддельным сообщением о выпуске — показывает, что безопасность моста выходит за рамки ончейн-контрактов и включает офчейн-инфраструктуру, которая их обслуживает.
Cysic предупредила, что количество созданных токенов не следует считать окончательной оценкой инцидента. Фактический ущерб в долларах, а также любые переводы и обмены оставались предметом расследования. Поскольку токены были выпущены, а не выведены из кошельков пользователей, реальный ущерб зависит от того, будут ли новый объем перемещен или обменян — вопрос, который расследование на тот момент не решило.
Около 2,8 млн CYS заблокированы
Cysic начала добавлять адрес получателя в черный список контракта токена CYS в 13:47:52 UTC, примерно через 76 минут после несанкционированного выпуска. Ограничение было активировано ончейн и блокировало переводы около 2,8 млн CYS, все еще находившихся на адресе. Черный список на уровне контракта может остановить вывод токенов с адреса, но сам по себе не возвращает их, поэтому параллельно с заморозкой продолжалась работа по отслеживанию средств.
По данным отчета, команда также отслеживала дополнительно 3 380,41 доллара с помощью профессиональной компании по безопасности.
Основная сеть и активы пользователей не пострадали
Cysic сообщила, что инцидент не скомпрометировал инфраструктуру основной сети. Консенсус, производство блоков, подтверждение транзакций и исполнение в Ethereum Virtual Machine остались незатронутыми.
Фонд также заявил, что нет никаких доказательств кражи существующих CYS или других активов из кошельков пользователей. В отличие от эксплойта, выводящего активы пользователей, этот инцидент заключался в несанкционированном создании новых токенов на адресе получателя.
Мост остается приостановленным на время проверки
Cysic немедленно приостановила работу мостов после обнаружения инцидента и заявила, что сервис не будет восстановлен, пока не будет проверен весь рабочий процесс. Расследование охватывает обработку сообщений, настройки разрешений, учет активов и полный путь атаки.
Фонд не объявил дату повторного запуска. Мост останется закрытым, пока не завершится оценка безопасности и не будет подтверждено рекомендуемое исправление; тем временем кроссчейн-переводы через мосты Cysic недоступны.
Cysic сообщила, что опубликует последующий отчет с результатами расследования, фактическими потерями, ходом отслеживания средств и финальными шагами по исправлению. Эти выводы вместе с любым подтвержденным перемещением выпущенных токенов определят итоговые масштабы инцидента.
Первоисточник: CryptoNin
Официальный пост: https://x.com/cysic_fdn/status/2111761749116637687?ref_src=twsrc%5Etfw
