一名攻击者利用BNB Smart Chain上Cysic跨链桥的漏洞，未经授权创建了1000万枚CYS。跨链桥通过在合约之间传递消息在不同网络间转移代币，而该流程中的伪造消息可能在目标链上触发未经授权的代币创建。Cysic随后将收款地址列入黑名单，限制了仍留存于该地址的约280万枚CYS的转账。基金会表示，Cysic主网上的资产以及用户钱包中的现有资产均未受影响。

Cysic基金会在发现消息处理与代币铸造流程中的漏洞后暂停了其跨链桥。基金会表示，此次事件仅限于桥接基础设施，未影响Cysic主网的共识机制、交易执行或用户已持有的代币。

— Cysic Foundation (@cysic_fdn) October 18, 2026

— Cysic Foundation (@cysic_fdn) October 18, 2026

BNB Smart Chain上的未授权CYS铸造

源报告给出了BNB Smart Chain上未授权铸造的两个时间戳：2026年10月17日12:31:38（UTC）以及同日17:31:38（UTC）。

根据Cysic的初步调查，攻击者获取了桥接支持服务所使用数据库的访问权限，随后利用相关处理逻辑中的漏洞发送了一条伪造的铸造消息，导致在单个收款地址创建了1000万枚CYS。这一攻击路径——先攻陷支持服务的数据库访问，再发送伪造铸造消息——表明桥接安全不仅涉及链上，还延伸至为其提供数据支持的链下基础设施。

Cysic提醒，新创建代币的数量不应被视为衡量此次事件的最终标准。实际的美元影响以及相关转账和兑换情况仍在调查中。由于代币是被铸造而非从用户钱包中被抽走，实际影响取决于新供应的代币是否被转移或兑换，而调查尚未解答这一问题。

约280万枚CYS受到限制

Cysic于13:47:52（UTC）开始将收款地址列入CYS代币合约的黑名单，距未授权铸造约76分钟。该限制已在链上激活，目前正阻止该地址仍持有的约280万枚CYS的转账。合约层面的黑名单可以阻止代币离开某个地址，但其本身无法追回代币，因此冻结的同时追踪工作仍在继续。

据报道，团队还在一家专业安全公司的协助下追踪额外的3,380.41美元。

主网及用户现有资产未受影响

Cysic表示，此次事件未危及主网基础设施。共识、区块生产、交易确认以及以太坊虚拟机执行均未受影响。

基金会还表示，没有证据表明用户钱包中的现有CYS或其他资产被盗。与抽走用户资产的攻击不同，此次事件涉及的是在收款地址未经授权创建新代币。

跨链桥在审查期间保持关闭

Cysic在检测到事件后立即暂停了桥接运营，并表示在完整审查整个工作流程之前不会恢复该服务。调查范围涵盖消息处理、权限设置、资产记录以及完整的攻击路径。

基金会尚未公布重新开放的日期。在安全评估完成且建议的整改措施得到验证之前，跨链桥将保持关闭，期间通过Cysic跨链桥进行的跨链转账将不可用。

Cysic表示，将发布后续报告，涵盖调查结果、实际损失、资金追踪进展以及最终的整改步骤。这些发现连同对已铸造代币任何已确认的流动情况，将决定此次事件的最终影响范围。

主要来源：CryptoNinjas

官方帖子：https://x.com/cysic_fdn/status/2111761749116637687?ref_src=twsrc%5Etfw