攻擊者利用 BNB Smart Chain 上 Cysic 跨鏈橋的漏洞，未經授權鑄造了 1,000 萬枚 CYS。跨鏈橋透過在合約之間傳遞訊息來實現代幣跨網絡轉移，而該流程中的偽造訊息可能觸發目標鏈上的未經授權代幣鑄造。Cysic 隨後將接收地址列入黑名單，限制了仍留在該地址的約 280 萬枚 CYS 的轉移。基金會表示，Cysic 主網上的資產以及用戶錢包中的既有資產均未受到影響。

Cysic 基金會在發現訊息處理與代幣鑄造流程中的漏洞後，暫停了其跨鏈橋服務。基金會表示，該事件僅限於跨鏈橋基礎設施，並未影響 Cysic 主網的共識機制、交易執行或用戶已持有的代幣。

— Cysic Foundation (@cysic_fdn) October 18, 2026

— Cysic Foundation (@cysic_fdn) October 18, 2026

BNB Smart Chain 上未經授權鑄造 CYS

原始報導針對 BNB Smart Chain 上的未經授權鑄造提供了兩個時間戳：2026 年 10 月 17 日 12:31:38 UTC，以及同日 17:31:38 UTC。

根據 Cysic 的初步調查，攻擊者取得了支援跨鏈橋服務所用料庫的存取權限，隨後利用相關處理邏輯中的漏洞發送偽造的鑄造訊息，導致在單一接收地址鑄造了 1,000 萬枚 CYS。此攻擊路徑——先入侵支援服務的資料庫存取權限，再發送偽造鑄造訊息——說明跨鏈橋安全不僅涉及鏈上合約，還延伸至為其提供數據的鏈下基礎設施。

Cysic 提醒，新鑄代幣的數量不應被視為衡量事件的最終標準。實際美元影響以及任何轉移和兌換行為仍在調查中。由於代幣是鑄造而非從用戶錢包中盜取，實際影響取決於新增供應量是否被轉移或兌換，而調查尚未解答此問題。

約 280 萬枚 CYS 遭受限

Cysic 於 13:47:52 UTC 開始將接收地址加入 CYS 代幣合約黑名單，距離未經授權鑄造約 76 分鐘。該限制已在鏈上啟用，目前阻止該地址仍持有的約 280 萬枚 CYS 進行轉移。合約層級的黑名單可以阻止代幣離開地址，但無法自行收回代幣，這也是凍結期間追蹤工作持續進行的原因。

根據報導，團隊也在專業資安公司的協助下追蹤額外的 3,380.41 美元。

主網與既有用戶資產未受影響

Cysic 表示，事件並未損害主網基礎設施。共識、區塊生產、交易確認以及以太坊虛擬機（EVM）執行均未受影響。

基金會也表示，沒有證據顯示既有 CYS 或其他資產從用戶錢包中被竊取。與竊取用戶資產的攻擊不同，此次事件涉及在單一接收地址未經授權鑄造新代幣。

跨鏈橋於審查期間維持停

Cysic 在偵測到事件後立即暫停跨鏈橋運作，並表示在完整審查工作流程之前不會恢復服務。調查範圍涵蓋訊息處理、權限設定、資產記錄以及完整攻擊路徑。

基金會尚未宣布重新開放的日期。在安全評估完成且建議的補救措施經過驗證之前，跨鏈橋將維持關閉，期間透過 Cysic 跨鏈橋進行的跨鏈轉移將無法使用。

Cysic 表示將發布後續報告，內容涵蓋調查結果、實際損失、資金追蹤進度以及最終補救步驟。這些調查結果，連同已鑄造代幣是否被移動的確認資訊，將界定事件的最終範圍。

原始來源：CryptoNinjas

官方貼文：https://x.com/cysic_fdn/status/2111761749116637687?ref_src=twsrc%5Etfw