Cysic-Angreifer verkaufte 7,2 Millionen CYS, bevor eine 76-minütige Blacklist den Rest einfroren
- Ein Angreifer erschuf am 17. Oktober 10 Millionen CYS über die Cross-Chain-Bridge von Cysic.
- Die Wallet verkaufte 7,2 Millionen CYS und transferierte etwa 727.000 US-Dollar nach Ethereum.
- Cysic sperrte die Wallet 76 Minuten nach dem Mint-Vorgang und friert damit etwa 2,8 Millionen CYS ein.
Am 17. Oktober zwang eine gefälschte Mint-Nachricht dazu, dass 10 Millionen unbefugte CYS-Token aus der Cross-Chain-Bridge von Cysic abflossen.
Die Wallet des Angreifers dumpfte 7,2 Millionen dieser Token und transferierte etwa 727.000 US-Dollar nach Ethereum, bevor das Projekt sie sperrte.
Zwei Verkaufsphasen brachten 588,315 USDT und 220 BNB ein
On-Chain-Daten zeigen, dass ein betrügerischer Mint-Vorgang am 17. Oktober um 12:31 UTC auf der BNB Smart Chain erfolgte. Laut dem Zwischenfallbericht der Foundation hat Cysic die empfangende Wallet im CYS-Vertrag jedoch erst um 13:47 UTC auf die Blacklist gesetzt.
Die Lücke betrug 76 Minuten. Die Adresse hatte aufgehört, Token zu senden, 48 Minuten vor dem Freeze und hatte ihre Erlöse von der BNB Chain abgezogen, als der Freeze eintraf.
Blacklist nahm den Rest: ~2,8 Millionen CYS, die nicht mehr übertragbar sind. Im Umlauf befinden sich etwa 160,8 Millionen CYS.
Laut BscScan-Aufzeichnungen erfolgte der Dumping in zwei Runden. Die ersten 5,65 Millionen CYS wurden für 588.315 USDT in fünf Minuten von 12:36 Uhr UTC verkauft, jeweils zu etwa 10 Cent.
Eine zweite, kleinere Runde lief von 12:57 bis 12:59 Uhr UTC. Sie brachte etwa 220 BNB für die letzten 1,55 Millionen Token ein.
Zwölf der 15 Verkäufe wurden unter Verwendung des DEX-Aggregators von OKX abgeschlossen. Die Aufträge wurden auf mehrere Plattformen verteilt, darunter PancakeSwap.
Mayan, deBridge und SWFT transportierten 306.6 ETH nach Ethereum
SWFTs Bridgers-Service holte die ersten 100.000 USDT um 12:44 Uhr UTC ab. Etwa eine Minute später landeten 40,88 ETH auf Ethereum.
Weitere 488.315 USDT wurden bis 12:53 Uhr UTC in sechs Transfers an das Cross-Chain-Protokoll Mayan transferiert.
Nach dem zweiten Verkauf folgte BNB. Mayan transportierte 80 dieser BNB um 13:05 Uhr UTC, und deBridge kümmerte sich um weitere 139 um 13:06 Uhr.
Laut Daten von Etherscan hat Mayan rund 224,66 ETH und deBridge 41,05 ETH ausgezahlt, wobei die letzte Transaktion um 13:06 UTC einging. Die Gesamtsumme betrug ca. 306,6 ETH oder ca. 727.000 USD zum ETH-Preis vom 18. Oktober von ca. 2.372 USD.
Bis 13:11 UTC hatte eine zweite Wallet über fünf Überweisungen 306,52 ETH erhalten. Ihre erste Einzahlung erfolgte etwa zwei Stunden vor dem Minting.
Die Blacklist des CYS-Vertrags erstreckt sich nicht auf ETH.
„Der Angreifer hat sich unbefugten Zugang zu einer Datenbank verschafft, die von Diensten zur Unterstützung der Bridge genutzt wird, und eine Schwachstelle in der entsprechenden Verarbeitungslogik ausgenutzt, um eine betrügerische Mint-Nachricht einzureichen“, heißt es in einem X-Inzidenzbericht der Cysic Foundation vom 18. Oktober.
Die Stiftung erklärte, dass der Vorfall auf die Verarbeitung von Bridge-Nachrichten und das Minting beschränkt war und keine Auswirkungen auf den Konsens, die Blockproduktion sowie die EVM-Ausführung im Cysic-Mainnet hatte. „Bestehende Benutzerwerte wurden nicht gestohlen“, hieß es weiter.
Cysic wurde 2022 gegründet und erzeugt Zero-Knowledge-Beweise auf dedizierter Hardware sowie auf seiner eigenen Layer-1-Chain. Die Polychain Capital führte 2023 die 6-Millionen-Dollar-Serie-A-Finanzierungsrunde an.
Die Stiftung betonte, dass der endgültige Dollarbetrag nicht allein durch die 10 Millionen geminteten Token bestimmt wird.
Cross-Chain-Übertragungen über die Brücke bleiben offline, bis Cysic eine Sicherheitsüberprüfung abgeschlossen hat. Ein zweiter Bericht zu verifizierten Verlusten und der Verfolgung der Mittel ist fällig.
Cryptopolitan berichtete, dass Symbiosis seine Bitcoin-Bridge im September suspendierte, als ein Angreifer einen enormen synthetischen Saldo erschuf, aber nur mit etwa 336.000 US-Dollar davonkam.
Im Juni ermöglichte ein Validierungsfehler einem Angreifer, rund 5 Milliarden unbefugte SYS zu minten. Syscoin sperrte seine Bridge.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Wie hat der Angreifer Cysic ausgenutzt?
Der Angreifer habe unbefugten Zugriff auf eine die Brücke unterstützende Datenbank erlangt und einen Verarbeitungsfehler genutzt, um eine betrügerische Mint-Nachricht einzureichen, so Cysic.
Wie viel hat der Angreifer tatsächlich gestohlen?
Etwa 306,6 ETH, im Wert von ca. 727.000 USD zum ETH-Kurs am 18. Oktober, nachdem 7,2 Millionen CYS verkauft wurden.
War das Cysic-Mainnet betroffen?
Nein. Cysic sagte, der Vorfall habe sich auf die Nachrichtenverarbeitung und das Minting innerhalb der Brücke beschränkt; bestehende Benutzerwerte wurden nicht gestohlen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
