Cysic приостановила работу своего кроссчейн-моста после того, как злоумышленник выпустил 10 млн несанкционированных токенов CYS в сети BNB Smart Chain и перевел, по имеющимся данным, полученные средства в Ethereum. Взлом 17 октября был вызван ошибочной аутентификацией сообщений моста, авторизующих выпуск токенов, согласно отчету проекта об инциденте.

Подробности несанкционированной эмиссии были раскрыты в отчете об инциденте от 18 октября, опубликованном фондом Cysic Foundation. Согласно отчету, фиктивная эмиссия произошла в 12:31:38 UTC. Расследователи установили, что взлом был связан с несанкционированным доступом к базе данных моста. Затем злоумышленник воспользовался уязвимостью в обработке сообщений, чтобы отправить поддельные инструкции на выпуск токенов без соответствующего перевода активов, в результате чего протокол выпустил токены без какого-либо обеспечивающего их депозита.

Первичный ончейн-актив, упомянутый в ранних сообщениях, связал инцидент с продажей 7,2 млн токенов, за которые на Ethereum было получено примерно 306,6 ETH. Выручка была оценена примерно в $727 тыс., хотя фонд не подтвердил полную цепочку транзакций и не определил итоговые убытки.

Как злоумышленник выпустил 10 млн CYS

Кроссчейн-мосты полагаются на аутентифицированные сообщения для распознавания переводов между блокчейнами и выпуска соответствующих активов. В данном случае поддельные инструкции заставили систему выпустить токены без какого-либо легитимного перевода в их основе. Таким образом, взлом касался валидации сообщений моста, а не сбоя консенсуса базовой сети. Поскольку одна принятая инструкция может вызвать эмиссию в целевой цепочке, этот слой валидации концентрирует доверие всего моста, и уязвимости на этом этапе были повторяющейся категорией сбоев кроссчейн-безопасности. Выявленный здесь доступ к базе данных также показывает, что риски мостов выходят за рамки ончейн-кода и затрагивают офчейн-системы, которые его питают.

Cysic внесла адрес получателя в черный список в 13:47:52 UTC, примерно через 76 минут после эмиссии. К этому моменту в заблокированном кошельке оставалось 2,8 млн токенов — 28% от эмиссии, в то время как остальные 7,2 млн, или 72%, уже покинули адрес. Внесение в черный список заблокировало остаток, но не позволило вернуть средства, которые уже покинули адрес. Проект приостановил работу кроссчейн-моста, чтобы предотвратить дальнейшую несанкционированную активность.

Внешняя компания по безопасности в настоящее время проверяет сообщения моста, права доступа и записи об активах, а расследователи отслеживают затронутые адреса. Мост остается закрытым безаты повторного открытия до завершения проверки безопасности и валидации.

Несанкционированная эмиссия равна 1% от общего предложения

Масштаб эмиссии имеет значение, выходящее за пределы заявленной выручки от переводов. Согласно токеномике проекта, общее предложение составляет 1 млрд CYS, распределенных между управлением, вычислительными услугами и сетевыми стимулами. Несанкционированные 10 млн единиц составили 1% от заявленного предложения, что вызывает вопросы о невозвращенных токенах в обращении до завершения расследования.

Однако сумма, переведенная в Ethereum, не должна рассматриваться как подтвержденный финансовый ущерб. Хотя первичный трекинг приписал злоумышленнику 306,6 ETH, фонд еще не установил, какая сумма в итоге была сохранена. Аналогично, 2,8 млн заблокированных токенов представляют собой подтвержденную меру сдерживания, а не свидетельство возврата каких-либо средств.

Работа мейннета во время инцидента не пострадала: консенсус, производство блоков и исполнение транзакций продолжались в обычном режиме, а существующие активы в кошельках пользователей остались нетронутыми. Проект также предупредил пользователей о поддельных ссылках на компенсации, предложениях «восстановления» средств и запросах приватных ключей.

Ожидается, что последующий отчет осветит подтвержденные убытки, отслеживание средств и меры по устранению последствий — выводы, которые определят любое решение о повторном открытии моста.