- 공격자가 10월 17일 Cysic의 크로스체인 브리지를 통해 1천만 개의 CYS를 mint했습니다.
- 해당 지갑은 720만 개의 CYS를 매도하고 약 $727,000를 이더리움으로 이동했습니다.
- Cysic은 mint 발생 76분 후 해당 지갑을 블랙리스트에 올리고 약 280만 개의 CYS를 동결했습니다.
10월 17일 위조된 mint 메시지로 인해 Cysic의 크로스체인 브리지에서 1천만 개의 승인되지 않은 CYS 토큰이 유출되었습니다.
공격자의 지갑은 프로젝트가 이를 잠그기 전에 그중 720만 개를 매도하고 약 $727,000를 이더리움으로 이동했습니다.
두 번의 매도 라운드에서 588,315 USDT와 220 BNB를 획득
온체인 데이터는 10월 17일 UTC 12:31에 BNB 스마트 체인에 대한 사기성 mint가 발생했음을 보여주지만, 재단의 사고 보고서는 Cysic이 CYS 계약에서 수신 지갑을 블랙리스트에 올린 것이 UTC 13:47였다고 명시합니다.
격차는 76분이었다. 해당 주소는 동결 발생 48분 전부터 토큰 전송을 중단했으며, 동결이 발동될 당시 이미 BNB 체인에서의 수익금을 이동시켰다.
블랙리스트가 잔여 물량을 흡수했다: 이전에는 가능했으나 이제 이체할 수 없는 CYS 약 280만 개. 유통량은 CYS 약 1억 6,080만 개이다.
BscScan 기록에 따르면 매도(dumping)는 두 차례에 걸쳐 이루어졌다. 첫 번째로 565만 개의 CYS가 UTC 12:36부터 5분 동안 총 588,315 USDT에 판매되었으며, 개당 약 10센트였다.
두 번째이자 더 작은 매도 라운드는 UTC 12:57부터 12:59까지 진행되었다. 이 과정에서 마지막 155만 개의 토큰으로 약 220 BNB를 거뒀다.
전체 15건의 매도 중 12건은 OKX의 DEX 애그리게이터를 통해 완료되었다. 주문은 PancakeSwap을 포함한 여러 거래소에 분산되었다.
Mayan, deBridge, SWFT는 306.6 ETH를 Ethereum로 이전했다
SWFT의 Bridgers 서비스는 UTC 12:44에 첫 100,000 USDT를 인출했다. 약 1분 후, 40.88 ETH가 Ethereum에 도착했다.
또 다른 488,315 USDT는 UTC 12:53까지 6번의 이체를 통해 크로스체인 프로토콜 Mayan으로 이동되었다.
두 번째 매도 이후에는 BNB도 따라 움직였다. Mayan은 UTC 13:05에 BNB 80개를 이전했고, deBridge는 UTC 13:06에 추가로 139개를 처리했다.
이더스캔(Etherscan) 데이터에 따르면, Mayan은 약 224.66 ETH를, deBridge는 41.05 ETH를 지급했으며, 마지막 입금은 UTC 기준 13:06에 이루어졌습니다. 총액은 약 306.6 ETH로, 10월 18일 당시 이더리움(ETH) 가격이 약 $2,372였을 때 약 $727,000에 해당합니다.
UTC 13:11까지 두 번째 지갑에서 5번의 전송을 통해 306.52 ETH가 입금되었습니다. 첫 번째 입금은 밋(mint) 발생 약 2시간 전에 이루어졌습니다.
CYS 계약의 블랙리스트는 이더리움(ETH)에는 적용되지 않습니다.
Cysic Foundation은 10월 18일 X(구 트위터) 사건 보고서에서 '공격자가 브리지 지원 서비스에서 사용하는 데이터베이스에 무단 접근하고 관련 처리 로직의 취약점을 악용하여 사기성 밋 메시지를 제출했다'고 밝혔습니다.
재단 측은 이번 사건이 브리지 메시지 처리 및 밋 과정에만 국한되었으며, Cysic 메인넷의 컨센서스, 블록 생성, EVM 실행에는 영향을 미치지 않았다고 설명했습니다. 또한 '기존 사용자 자산은 도난당하지 않았다'고 덧붙였습니다.
Cysic은 2022년에 설립되었으며, 전용 하드웨어와 자체 레이어 1 체인에서 영지식 증명(zero-knowledge proofs)을 생성합니다. 폴리체인 캐피탈(Polychain Capital)은 2023년 시드 라운드에서 600만 달러를 이끌었습니다.
재단 측은 최종 금액이 단순히 1,000만 개의 밋된 토큰만으로 결정되는 것은 아니라고 말했습니다.
Cysic의 보안 검토가 완료될 때까지 브리지를 통한 크로스체인 전송은 오프라인 상태로 유지됩니다. 두 번째 보고서는 확인된 손실 및 자금 추적을 위해 예정되어 있습니다.
Cryptopolitan은 공격자가 막대한 양의 합성 잔액을 mint했지만 약 $336,000만 달러를 가져간 후 떠난 9월 Symbiosis의 비트코인 브리지 중단 소식을 보도했습니다.
6월 검증 결함으로 공격자가 약 50억 개의 승인되지 않은 SYS를 mint할 수 있었으며, Syscoin은 브리지를 동결했습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
자주 묻는 질문
공격자는 Cysic을 어떻게 악용했습니까?
공격자는 브리지를 지원하는 데이터베이스에 무단으로 접근하여 처리 결함을 이용해 위조mint 메시지를 제출했으며, 이는 Cysic이 밝혔습니다.
공격자가 실제로 가져간 금액은 얼마입니까?
약 306.6 ETH로, 10월 18일 ETH 가격 기준 약 $727,000 상당이며, 720만 개의 CYS를 판매한 후입니다.
Cysic 메인넷에 영향을 미쳤습니까?
아니요. Cysic에 따르면 이번 사건은 브리지의 메시지 처리 및 mint 과정 내부에서 발생했으며, 기존 사용자 자산은 도난당하지 않았습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
