Cysic sospende il bridge dopo che un aggressore conia token e trasferisce 727.000 dollari su Ethereum

Cysic ha sospeso il proprio bridge cross-chain dopo che sabato un aggressore ha sfruttato il bridge per coniare 10 milioni di token CYS su BNB Chain, ha confermato il progetto. I dati on-chain mostrano che l'aggressore ha venduto 7,2 milioni di token non autorizzati prima che Cysic inserisse nella blacklist l'indirizzo ricevente e congelasse i restanti 2,8 milioni di CYS. L'aggressore ha trasferito circa 306,6 ETH su Ethereum tramite Mayan, deBridge e Bridgers di SWFT. Al prezzo di ETH di domenica, pari a circa 2.372 dollari, gli ether valevano circa 727.000 dollari.

La Cysic Foundation ha affermato in un rapporto sull'incidente pubblicato domenica che l'aggressore ha ottenuto accesso non autorizzato a un database utilizzato dai servizi che supportano il bridge. La fondazione ha detto che l'aggressore ha sfruttato una vulnerabilità nella logica di elaborazione pertinente per inviare un messaggio di conio fraudolento. Cysic ha detto che una società di sicurezza non identificata sta indagando sull'incidente e tracciando i fondi. La fondazione ha affermato che l'incidente è rimasto circoscritto alle funzioni di elaborazione dei messaggi e di conio del bridge e non ha interessato la mainnet di Cysic. La fondazione ha detto che gli asset esistenti degli utenti non sono stati sottratti. Cysic non ha comunicato le perdite in dollari e ha detto che il numero di token coniati non rappresenta di per sé la perdita finale in dollari statunitensi.

I dati on-chain collocano il conio non autorizzato alle 8:31 ET di sabato. I dati di BscScan mostrano che l'indirizzo ricevente ha iniziato a trasferire CYS cinque minuti dopo e ha inviato 7,2 milioni di token in 26 trasferimenti nell'ambito di 15 transazioni entro le 8:59 ET. L'indirizzo ha venduto i token in due fasi. Ha venduto 5,65 milioni di CYS in 11 transazioni tra le 8:36 e le 8:41 ET per 588.315 USDT, ovvero circa 10 centesimi per token. Ha venduto i restanti 1,55 milioni di CYS in quattro transazioni tra le 8:57 e le 8:59 ET per circa 220 BNB. Dodici delle 15 transazioni hanno utilizzato l'aggregatore DEX di OKX, che ha suddiviso gli ordini tra exchange tra cui PancakeSwap.

Secondo il rapporto della fondazione e i dati on-chain, Cysic ha inserito l'indirizzo nella blacklist del contratto del token CYS alle 9:47 ET. La blacklist impedisce i trasferimenti dei restanti 2,8 milioni di CYS dell'aggressore. La blacklist è entrata in vigore 76 minuti dopo la transazione iniziale che ha sfruttato la vulnerabilità e 48 minuti dopo che l'indirizzo aveva smesso di inviare token.

Alle 8:44 ET l'indirizzo ha inviato 100.000 USDT a un contratto BridgersSwap gestito da SWFT, un servizio di scambio cross-chain. Circa un minuto dopo, l'indirizzo ha ricevuto 40,88 ETH su Ethereum da un contratto SWFT. Tra le 8:46 e le 8:53 ET, l'indirizzo ha inviato i restanti 488.315 USDT al protocollo cross-chain Mayan, in sei trasferimenti. Dopo la seconda fase di vendite, alle 9:05 ET l'indirizzo ha inviato 80 BNB tramite Mayan. Un minuto dopo ha inviato 139 BNB tramite deBridge. I dati di Etherscan mostrano che l'indirizzo ha ricevuto sette accrediti da Mayan per un totale di circa 224,66 ETH su Ethereum. I dati di Etherscan mostrano inoltre che l'indirizzo ha ricevuto da deBridge un accredito di 41,05 ETH. L'ultimo accredito è arrivato alle 9:06 ET.

Entro le 9:11 ET, l'indirizzo aveva quindi inviato 306,52 ETH in cinque trasferimenti a un secondo wallet. Il secondo wallet aveva ricevuto fondi per la prima volta circa due ore prima del conio non autorizzato. Domenica mattina il wallet deteneva circa 309,5 ETH. La blacklist di Cysic si applica solo ai CYS su BNB Chain e non incide sugli ether.

Cysic ha detto che il bridge resterà chiuso fino al completamento di una revisione della sicurezza. Il progetto ha detto che pubblicherà un rapporto successivo sulle perdite verificate e sulle iniziative per tracciare i fondi.

Fondata nel 2022, Cysic sviluppa hardware specializzato e gestisce una rete Layer 1 per generare prove a conoscenza zero. Nel 2023 Cysic ha raccolto 6 milioni di dollari in un round seed guidato da Polychain Capital. Il bridge di Cysic trasferisce token, compreso CYS, tra la chain Cysic e reti come BNB Smart Chain e Base.