L'attaccante di Cysic ha venduto 7,2 milioni di CYS prima che una blacklist di 76 minuti congelasse il resto
- Un attaccante ha coniato 10 milioni di CYS attraverso il bridge cross-chain di Cysic il 17 ottobre.
- Il wallet ha venduto 7,2 milioni di CYS e ha spostato circa 727.000 dollari su Ethereum.
- Cysic ha inserito in blacklist il wallet 76 minuti dopo la coniazione, congelando circa 2,8 milioni di CYS.
Il 17 ottobre, un messaggio di coniazione contraffatto ha fatto uscire 10 milioni di token CYS non autorizzati dal bridge cross-chain di Cysic.
Il wallet dell'attaccante ha svenduto 7,2 milioni di token e ha spostato circa 727.000 dollari su Ethereum prima che il progetto lo bloccasse.
Due round di vendita hanno fruttato 588,315 USDT e 220 BNB
I dati on-chain rivelano che una coniazione fraudolenta ha colpito BNB Smart Chain alle 12:31 UTC del 17 ottobre. Tuttavia, il rapporto sull'incidente della fondazione afferma che Cysic non ha inserito in blacklist il wallet destinatario nel contratto CYS fino alle 13:47 UTC.
Il divario è durato 76 minuti. L'indirizzo aveva smesso di inviare token 48 minuti prima del congelamento e aveva già spostato i proventi dalla BNB Chain al momento del congelamento.
Blacklist si è accaparrato il residuo: ~2,8 milioni di CYS che non possono più essere trasferiti. Circa 160,8 milioni di CYS sono in circolazione.
Secondo i registri di BscScan, lo smaltimento è avvenuto in due fasi. I primi 5,65 milioni di CYS sono stati venduti per 588.315 USDT in cinque minuti, dalle 12:36 UTC, a circa 10 centesimi ciascuno.
Una seconda fase, di entità inferiore, si è svolta dalle 12:57 alle 12:59 UTC. Ha fruttato circa 220 BNB per gli ultimi 1,55 milioni di token.
Dodici delle quindici vendite sono state completate utilizzando l'aggregatore DEX di OKX. Gli ordini sono stati suddivisi tra diverse piattaforme, tra cui PancakeSwap.
Mayan, deBridge e SWFT hanno trasportato 306.6 ETH su Ethereum
Il servizio Bridgers di SWFT ha prelevato i primi 100.000 USDT alle 12:44 UTC. Circa un minuto dopo, 40,88 ETH sono atterrati su Ethereum.
Un altro importo di 488.315 USDT è stato trasferito al protocollo cross-chain Mayan in sei transazioni entro le 12:53 UTC.
Dopo la seconda ondata di vendite, è toccato alla BNB. Mayan ha trasportato 80 di quelle BNB alle 13:05 UTC, mentre deBridge ne ha gestite altre 139 alle 13:06.
Secondo i dati di Etherscan, Mayan ha versato circa 224,66 ETH e deBridge 41,05 ETH, con l'ultimo arrivo alle 13:06 UTC. Il totale è stato di ~306,6 ETH o ~727.000 $ al prezzo dell'ETH del 18 ottobre di ~2.372 $.
Alle 13:11 UTC, un secondo wallet aveva ricevuto 306,52 ETH attraverso cinque trasferimenti. Il suo primo deposito è stato effettuato circa due ore prima del minting.
La blacklist del contratto CYS non include ETH.
«L’attaccante ha ottenuto l’accesso non autorizzato a un database utilizzato dai servizi che supportano il bridge e ha sfruttato una vulnerabilità nella logica di elaborazione pertinente per inviare un messaggio di minting fraudolento», ha dichiarato la Fondazione Cysic in un rapporto sull’incidente pubblicato su X il 18 ottobre.
La fondazione ha precisato che l’incidente è limitato alla gestione dei messaggi del bridge e al processo di minting, senza influenzare il consenso, la produzione di blocchi o l’esecuzione EVM sulla mainnet di Cysic. «Non sono stati rubati asset utente esistenti», ha aggiunto.
Cysic risale al 2022 e genera prove zero-knowledge su hardware dedicato e sulla propria chain Layer 1. Il round seed da 6 milioni di dollari nel 2023 è stato guidato da Polychain Capital.
La fondazione ha spiegato che l’importo finale in dollari non è determinato esclusivamente dai 10 milioni di token coniatì.
I trasferimenti cross-chain tramite il bridge restano offline finché Cysic non completa una revisione di sicurezza. Un secondo rapporto è previsto per le perdite verificate e il tracciamento dei fondi.
Cryptopolitan ha riportato che Symbiosis ha sospeso il suo bridge Bitcoin a settembre quando un attaccante ha coniato un enorme saldo sintetico, ma si è portato via circa 336.000 dollari.
A giugno, un difetto di validazione ha permesso a un attaccante di coniare circa 5 miliardi di SYS non autorizzati. Syscoin ha congelato il suo bridge.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Come ha sfruttato l'attaccante Cysic?
L'attaccante ha ottenuto accesso non autorizzato a un database che supporta il bridge e ha utilizzato un difetto di elaborazione per inviare un messaggio di coniazione fraudolento, ha dichiarato Cysic.
Quanto ha effettivamente sottratto l'attaccante?
Circa 306,6 ETH, del valore di ~727.000 $ al prezzo dell'ETH del 18 ottobre, dopo aver venduto 7,2 milioni di CYS.
La mainnet di Cysic è stata interessata?
No. Cysic ha dichiarato che l'incidente si è limitato all'elaborazione dei messaggi e alla coniazione del bridge, e i beni degli utenti esistenti non sono stati rubati.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
