Cysic suspende ponte após invasor emitir tokens e transferir US$ 727.000 para Ethereum

A Cysic suspendeu sua ponte entre blockchains após um invasor explorar a ponte para emitir 10 milhões de tokens CYS na BNB Chain no sábado, confirmou o projeto. Registros on-chain mostram que o invasor vendeu 7,2 milhões de tokens não autorizados antes de a Cysic colocar o endereço de recebimento em uma lista negra e congelar os 2,8 milhões de CYS restantes. O invasor transferiu cerca de 306,6 ETH para Ethereum por meio da Mayan, da deBridge e da Bridgers, da SWFT. O ether valia aproximadamente US$ 727.000 pelo preço do ETH no domingo, de cerca de US$ 2.372.

A Cysic Foundation afirmou, em um relatório sobre o incidente publicado no domingo, que o invasor obteve acesso não autorizado a um banco de dados usado por serviços que dão suporte à ponte. A fundação disse que o invasor explorou uma vulnerabilidade na lógica de processamento pertinente para enviar uma mensagem fraudulenta de emissão de tokens. A Cysic disse que uma empresa de segurança não identificada estava investigando o incidente e rastreando os fundos. A fundação afirmou que o incidente ficou restrito às funções de processamento de mensagens e emissão de tokens da ponte e não afetou a rede principal da Cysic. A fundação disse que ativos existentes de usuários não foram roubados. A Cysic não divulgou perdas em dólares e afirmou que o número de tokens emitidos não representa, por si só, a perda final em dólares americanos.

Dados on-chain situam a emissão não autorizada às 8h31 ET de sábado. Registros da BscScan mostram que o endereço de recebimento começou a movimentar CYS cinco minutos depois e transferiu 7,2 milhões de tokens em 26 transferências, distribuídas por 15 transações, até as 8h59 ET. O endereço vendeu os tokens em duas etapas. O endereço vendeu 5,65 milhões de CYS em 11 transações entre 8h36 e 8h41 ET por 588.315 USDT, ou cerca de 10 centavos por token. O endereço vendeu os 1,55 milhão de CYS restantes em quatro transações entre 8h57 e 8h59 ET por cerca de 220 BNB. Doze das 15 transações usaram o agregador de DEX da OKX, que dividiu as ordens entre plataformas de negociação, incluindo a PancakeSwap.

A Cysic colocou o endereço em uma lista negra no contrato do token CYS às 9h47 ET, segundo o relatório da fundação e registros on-chain. A lista negra impede transferências dos 2,8 milhões de CYS restantes do invasor. A medida entrou em vigor 76 minutos após a transação inicial da exploração. A lista negra entrou em vigor 48 minutos depois de o endereço parar de enviar tokens.

O endereço enviou 100.000 USDT a um contrato BridgersSwap operado pelo serviço de swaps entre blockchains SWFT às 8h44 ET. O endereço recebeu 40,88 ETH na rede Ethereum de um contrato da SWFT cerca de um minuto depois. O endereço enviou os 488.315 USDT restantes ao protocolo entre blockchains Mayan em seis transferências entre 8h46 e 8h53 ET. Após a segunda etapa de vendas, o endereço enviou 80 BNB pela Mayan às 9h05 ET. O endereço enviou 139 BNB pela deBridge um minuto depois. Registros da Etherscan mostram que o endereço recebeu sete pagamentos da Mayan, totalizando cerca de 224,66 ETH na rede Ethereum. Registros da Etherscan também mostram que o endereço recebeu um pagamento de 41,05 ETH da deBridge. O último pagamento chegou às 9h06 ET.

O endereço então enviou 306,52 ETH em cinco transferências para uma segunda carteira até as 9h11 ET. A segunda carteira recebeu fundos pela primeira vez cerca de duas horas antes da emissão não autorizada. A segunda carteira detinha cerca de 309,5 ETH na manhã de domingo. A lista negra da Cysic se aplica apenas a CYS na BNB Chain e não afeta o ether.

A Cysic disse que a ponte permanecerá fechada até a conclusão de uma análise de segurança. A Cysic afirmou que o projeto publicará um relatório complementar sobre as perdas verificadas e os esforços para rastrear os fundos.

A Cysic foi fundada em 2022 e desenvolve hardware especializado e opera uma rede de camada 1 para gerar provas de conhecimento zero. A Cysic captou US$ 6 milhões em uma rodada seed liderada pela Polychain Capital em 2023. A ponte da Cysic transfere tokens, incluindo CYS, entre a rede Cysic e redes como a BNB Smart Chain e a Base.