L’attaquant de Cysic a vendu 7,2 millions de CYS avant qu’un blacklistage de 76 minutes ne gèle le reste
- Un attaquant a créé 10 millions de CYS via le pont interchaînes de Cysic le 17 octobre.
- Le portefeuille a vendu 7,2 millions de CYS et a transféré environ 727 000 $ vers Ethereum.
- Cysic a mis le portefeuille sur liste noire 76 minutes après la création, gelant ainsi environ 2,8 millions de CYS.
Le 17 octobre, un message de création falsifié a forcé l'émission de 10 millions de jetons CYS non autorisés depuis le pont interchaînes de Cysic.
Le portefeuille de l'attaquant a déversé 7,2 millions de ces jetons et a transféré environ 727 000 $ vers Ethereum avant que le projet ne les bloque.
Deux tours de vente ont rapporté 588,315 USDT et 220 BNB
Les données on-chain révèlent qu'une création frauduleuse a touché la chaîne intelligente BNB à 12 h 31 UTC le 17 octobre. Mais le rapport d'incident de la fondation indique que Cysic n'a pas mis le portefeuille récepteur sur liste noire dans le contrat CYS avant 13 h 47 UTC.
L’intervalle était de 76 minutes. L’adresse avait cessé d’envoyer des jetons 48 minutes avant le gel et avait transféré ses fonds depuis la BNB Chain au moment où le gel a été appliqué.
Blacklist a récupéré les restes : environ 2,8 millions de CYS qui ne peuvent plus être transférés. Environ 160,8 millions de CYS circulent.
Selon les registres de BscScan, le dumping s’est déroulé en deux vagues. Les premiers 5,65 millions de CYS ont été vendus pour 588 315 USDT en cinq minutes, entre 12 h 36 UTC, à environ 10 cents chacun.
Une deuxième vague, plus réduite, s’est déroulée de 12 h 57 à 12 h 59 UTC. Elle a rapporté environ 220 BNB pour les derniers 1,55 million de jetons.
Douze des quinze ventes ont été réalisées via l’agrégateur DEX d’OKX. Les ordres ont été répartis entre plusieurs plateformes, dont PancakeSwap.
Mayan, deBridge et SWFT ont transporté 306.6 ETH vers Ethereum
Le service Bridgers de SWFT a pris les premiers 100 000 USDT à 12 h 44 UTC. Environ une minute plus tard, 40,88 ETH sont arrivés sur Ethereum.
Un autre montant de 488 315 USDT a été transféré vers le protocole interchaînes Mayan en six transactions d’ici 12 h 53 UTC.
Après la deuxième vague de ventes, ce fut au tour du BNB. Mayan a transporté 80 de ces BNB à 13 h 05 UTC, et deBridge en a géré 139 autres à 13 h 06.
Selon les données d'Etherscan, Mayan a versé environ 224,66 ETH et deBridge 41,05 ETH, le dernier transfert étant arrivé à 13 h 06 UTC. Le total s'élevait à ~306,6 ETH, soit ~727 000 $ au prix de l'ETH du 18 octobre (~2 372 $).
À 13 h 11 UTC, un deuxième portefeuille avait reçu 306,52 ETH via cinq transferts. Son premier dépôt a été effectué environ deux heures avant le mint.
La liste noire du contrat CYS n'inclut pas ETH.
« L'attaquant a obtenu un accès non autorisé à une base de données utilisée par les services qui prennent en charge le pont et a exploité une vulnérabilité dans la logique de traitement pertinente pour soumettre un message de mint frauduleux », a indiqué la Fondation Cysic dans un rapport d'incident publié sur X le 18 octobre.
La fondation a précisé que l'incident était limité à la gestion des messages du pont et au mint, sans affecter le consensus, la production de blocs ni l'exécution EVM sur le mainnet Cysic. « Les actifs des utilisateurs existants n'ont pas été volés », a-t-elle ajouté.
Cysic est actif depuis 2022 et génère des preuves à divulgation nulle de connaissance (zero-knowledge proofs) sur du matériel dédié ainsi que sur sa propre chaîne Layer 1. Polychain Capital a dirigé son tour de table seed de 6 millions de dollars en 2023.
La fondation a indiqué que le montant final en dollars n'est pas déterminé uniquement par les 10 millions de tokens mintés.
Les transferts inter-chaînes via le pont restent hors ligne jusqu'à ce que Cysic termine un audit de sécurité. Un deuxième rapport sur les pertes vérifiées et le traçage des fonds est attendu.
Cryptopolitan a rapporté que Symbiosis a suspendu son pont Bitcoin en septembre lorsqu'un attaquant a créé un solde synthétique immense, mais n'a emporté qu'environ 336 000 $.
En juin, une faille de validation a permis à un attaquant de créer environ 5 milliards de SYS non autorisés. Syscoin a gelé son pont.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Comment l'attaquant a-t-il exploité Cysic ?
Selon Cysic, l'attaquant a obtenu un accès non autorisé à une base de données supportant le pont et a utilisé une faille de traitement pour soumettre un message de frappe frauduleux.
Combien l'attaquant a-t-il réellement volé ?
Environ 306,6 ETH, valant ~727 000 $ au cours de l'ETH du 18 octobre, après avoir vendu 7,2 millions de CYS.
Le mainnet Cysic a-t-il été affecté ?
Non. Cysic a indiqué que l'incident s'est limité au traitement des messages et à la frappe du pont, et que les actifs utilisateurs existants n'ont pas été volés.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
