El atacante de Cysic vendió 7,2 millones de CYS antes de que una lista negra de 76 minutos congelara el resto
- Un atacante acuñó 10 millones de CYS a través del puente entre cadenas de Cysic el 17 de octubre.
- La billetera vendió 7,2 millones de CYS y movió aproximadamente 727.000 dólares a Ethereum.
- Cysic incluyó la billetera en la lista negra 76 minutos después de la acuñación, congelando unos 2,8 millones de CYS.
El 17 de octubre, un mensaje de acuñación falso obligó a salir 10 millones de tokens CYS no autorizados del puente entre cadenas de Cysic.
La billetera del atacante liquidó 7,2 millones de ellos y movió unos 727.000 dólares a Ethereum antes de que el proyecto la bloqueara.
Dos rondas de ventas obtuvieron 588,315 USDT y 220 BNB
Los datos on-chain revelan que una acuñación fraudulenta afectó a BNB Smart Chain a las 12:31 UTC del 17 de octubre. Pero el informe de incidente de la fundación indica que Cysic no incluyó la billetera receptora en la lista negra del contrato CYS hasta las 13:47 UTC.
La brecha duró 76 minutos. La dirección había dejado de enviar tokens 48 minutos antes del congelamiento y ya había trasladado sus fondos desde la cadena BNB para cuando se ejecutó el bloqueo.
Blacklist se quedó con los restos: aproximadamente 2,8 millones de CYS que ya no pueden transferirse. Circulan unos 160,8 millones de CYS.
Según los registros de BscScan, las ventas masivas se realizaron en dos rondas. Los primeros 5,65 millones de CYS se vendieron por 588.315 USDT en cinco minutos, entre las 12:36 UTC, a un precio de aproximadamente 10 centavos cada uno.
Una segunda ronda, más pequeña, se llevó a cabo entre las 12:57 y las 12:59 UTC. Recaudó alrededor de 220 BNB por los últimos 1,55 millones de tokens.
Doce de las 15 ventas se completaron utilizando el agregador DEX de OKX. Las órdenes se distribuyeron entre varios mercados, incluido PancakeSwap.
Mayan, deBridge y SWFT transportaron 306.6 ETH a Ethereum
El servicio Bridgers de SWFT retiró los primeros 100.000 USDT a las 12:44 UTC. Aproximadamente un minuto después, 40,88 ETH llegaron a Ethereum.
Otro monto de 488.315 USDT fue trasladado al protocolo cross-chain Mayan mediante seis transferencias, completadas antes de las 12:53 UTC.
Tras la segunda ola de ventas, también se movieron BNB. Mayan transportó 80 de esos BNB a las 13:05 UTC, y deBridge gestionó otros 139 a las 13:06.
Según los datos de Etherscan, Mayan desembolsó alrededor de 224,66 ETH y deBridge 41,05 ETH, con la última transacción registrada a las 13:06 UTC. El total fue de aproximadamente 306,6 ETH, equivalentes a unos 727.000 dólares al precio del ETH el 18 de octubre, que era de aproximadamente 2.372 dólares.
Para las 13:11 UTC, una segunda billetera había recibido 306,52 ETH a través de cinco transferencias. Su primer depósito se realizó aproximadamente dos horas antes del minting.
La lista negra del contrato CYS no alcanza a ETH.
«El atacante obtuvo acceso no autorizado a una base de datos utilizada por servicios que respaldan el puente y explotó una vulnerabilidad en la lógica de procesamiento relevante para enviar un mensaje de minting fraudulento», dijo la Fundación Cysic en un informe de incidente publicado en X el 18 de octubre.
La fundación indicó que el incidente se limitó al manejo de mensajes del puente y al minting, sin afectar el consenso, la producción de bloques ni la ejecución de EVM en la mainnet de Cysic. «No se robaron los activos existentes de los usuarios», afirmó.
Cysic data de 2022 y genera pruebas de conocimiento cero (zero-knowledge proofs) en hardware dedicado y su propia cadena Layer 1. Polychain Capital lideró su ronda semilla de 6 millones de dólares en 2023.
La fundación señaló que la cifra final en dólares no está determinada únicamente por los 10 millones de tokens minteados.
Las transferencias entre cadenas a través del puente permanecen sin procesar hasta que Cysic finalice una revisión de seguridad. Se espera un segundo informe sobre las pérdidas verificadas y el rastreo de los fondos.
Cryptopolitan informó que Symbiosis suspendió su puente de Bitcoin en septiembre cuando un atacante acuñó un saldo sintético enorme, pero se llevó unos 336.000 dólares.
En junio, un error de validación permitió a un atacante acuñar alrededor de 5 mil millones de SYS no autorizados. Syscoin congeló su puente.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Cómo explotó el atacante a Cysic?
El atacante obtuvo acceso no autorizado a una base de datos que respalda el puente y utilizó un fallo en el procesamiento para enviar un mensaje de acuñación fraudulento, según informó Cysic.
¿Cuánto logró robar realmente el atacante?
Aproximadamente 306,6 ETH, valorados en ~727.000 dólares al precio del ETH del 18 de octubre, tras vender 7,2 millones de CYS.
¿Se vio afectada la mainnet de Cysic?
No. Cysic indicó que el incidente se limitó al procesamiento de mensajes y a la acuñación dentro del puente, y que los activos existentes de los usuarios no fueron robados.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
