Cysic suspend son pont après la création de jetons par un attaquant et le transfert de 727 000 dollars vers Ethereum

Cysic a suspendu son pont inter-chaînes après qu'un attaquant a exploité une faille du pont pour créer 10 millions de jetons CYS sur BNB Chain samedi, a confirmé le projet. Les données on-chain montrent que l'attaquant a vendu 7,2 millions de jetons créés sans autorisation avant que Cysic ne place l'adresse destinataire sur liste noire et ne gèle les 2,8 millions de CYS restants. L'attaquant a transféré environ 306,6 ETH vers Ethereum par l'intermédiaire de Mayan, deBridge et Bridgers, le service de SWFT. Ces ethers valaient près de 727 000 dollars au cours de l'ETH dimanche, d'environ 2 372 dollars.

La Cysic Foundation a déclaré dans un rapport d'incident publié dimanche que l'attaquant avait obtenu un accès non autorisé à une base de données utilisée par des services prenant en charge le pont. La fondation a indiqué que l'attaquant avait exploité une vulnérabilité dans la logique de traitement concernée pour soumettre un message frauduleux de création de jetons. Cysic a déclaré qu'une société de sécurité non nommée enquêtait sur l'incident et traçait les fonds. La fondation a indiqué que l'incident était limité aux fonctions de traitement des messages et de création de jetons du pont et qu'il n'avait pas affecté le réseau principal de Cysic. La fondation a déclaré qu'aucun actif existant des utilisateurs n'avait été volé. Cysic n'a pas communiqué de pertes en dollars et a indiqué que le nombre de jetons créés ne représentait pas à lui seul la perte finale en dollars américains.

Les données on-chain situent la création non autorisée à 8 h 31 ET samedi. Les données de BscScan montrent que l'adresse destinataire a commencé à transférer des CYS cinq minutes plus tard et a envoyé 7,2 millions de jetons en 26 transferts répartis sur 15 transactions avant 8 h 59 ET. L'adresse a vendu les jetons en deux séries. Elle a vendu 5,65 millions de CYS en 11 transactions entre 8 h 36 et 8 h 41 ET pour 588 315 USDT, soit environ 10 cents par jeton. Elle a vendu les 1,55 million de CYS restants en quatre transactions entre 8 h 57 et 8 h 59 ET pour environ 220 BNB. Douze des 15 transactions ont utilisé l'agrégateur DEX d'OKX, qui a réparti les ordres entre plusieurs plateformes, dont PancakeSwap.

Cysic a placé l'adresse sur liste noire dans le contrat du jeton CYS à 9 h 47 ET, selon le rapport de la fondation et les données on-chain. Cette liste noire empêche les transferts des 2,8 millions de CYS restants de l'attaquant. Elle a pris effet 76 minutes après la première transaction liée à l'exploitation de la faille, et 48 minutes après le dernier transfert de jetons par l'adresse.

L'adresse a envoyé 100 000 USDT à un contrat BridgersSwap exploité par SWFT, un service d'échange inter-chaînes, à 8 h 44 ET. Environ une minute plus tard, elle a reçu 40,88 ETH sur Ethereum depuis un contrat de SWFT. L'adresse a envoyé les 488 315 USDT restants au protocole inter-chaînes Mayan en six transferts entre 8 h 46 et 8 h 53 ET. Après la deuxième série de ventes, l'adresse a transféré 80 BNB via Mayan à 9 h 05 ET. Une minute plus tard, elle a envoyé 139 BNB via deBridge. Les données d'Etherscan montrent que l'adresse a reçu sept versements de Mayan totalisant environ 224,66 ETH sur Ethereum. Elles montrent également que l'adresse a reçu un versement de 41,05 ETH de deBridge. Le dernier versement est arrivé à 9 h 06 ET.

L'adresse a ensuite envoyé 306,52 ETH en cinq transferts vers un deuxième portefeuille avant 9 h 11 ET. Ce portefeuille avait reçu des fonds pour la première fois environ deux heures avant la création non autorisée des jetons. Il détenait environ 309,5 ETH dimanche matin. La liste noire de Cysic ne s'applique qu'aux CYS sur BNB Chain et n'affecte pas les ethers.

Cysic a déclaré que le pont resterait fermé jusqu'à la fin d'un examen de sécurité. Le projet a indiqué qu'il publierait un rapport de suivi sur les pertes vérifiées et les efforts déployés pour tracer les fonds.

Cysic a été fondée en 2022 et développe du matériel spécialisé ainsi qu'un réseau de couche 1 destiné à générer des preuves à divulgation nulle de connaissance. En 2023, Cysic a levé 6 millions de dollars lors d'un tour d'amorçage mené par Polychain Capital. Le pont de Cysic permet de transférer des jetons, dont CYS, entre la chaîne Cysic et des réseaux tels que BNB Smart Chain et Base.