Atacante da Cysic vendeu 7,2 milhões de CYS antes que uma blacklist de 76 minutos congelasse o restante
- Um atacante cunhou 10 milhões de CYS através da ponte cross-chain da Cysic em 17 de outubro.
- A carteira vendeu 7,2 milhões de CYS e transferiu cerca de US$ 727.000 para Ethereum.
- A Cysic colocou a carteira na lista negra 76 minutos após a cunhagem, congelando cerca de 2,8 milhões de CYS.
Em 17 de outubro, uma mensagem de cunhagem forjada liberou 10 milhões de tokens CYS não autorizados da ponte cross-chain da Cysic.
A carteira do atacante despejou 7,2 milhões deles e moveu cerca de US$ 727.000 para Ethereum antes que o projeto a bloqueasse.
Duas rodadas de venda angariaram 588,315 USDT e 220 BNB
Os dados on-chain revelam que uma cunhagem fraudulenta atingiu a BNB Smart Chain às 12:31 UTC em 17 de outubro. Mas o relatório de incidente da fundação afirma que a Cysic não colocou a carteira receptora na lista negra no contrato CYS até as 13:47 UTC.
A lacuna durou 76 minutos. O endereço havia parado de enviar tokens 48 minutos antes do congelamento e já havia movido seus recursos da BNB Chain quando o congelamento ocorreu.
A Blacklist ficou com os restos: ~2,8 milhões de CYS que não podem mais ser transferidos. Cerca de 160,8 milhões de CYS estão em circulação.
De acordo com os registros do BscScan, o despejo foi feito em duas rodadas. As primeiras 5,65 milhões de CYS foram vendidas por 588.315 USDT em cinco minutos, das 12h36 UTC, a cerca de 10 centavos cada.
Uma segunda rodada, menor, ocorreu das 12h57 às 12h59 UTC. Ela gerou cerca de 220 BNB para os últimos 1,55 milhão de tokens.
Doze das 15 vendas foram concluídas usando o agregador DEX da OKX. As ordens foram divididas entre várias plataformas, incluindo PancakeSwap.
Mayan, deBridge e SWFT transportaram 306.6 ETH para Ethereum
O serviço Bridgers da SWFT resgatou os primeiros 100.000 USDT às 12h44 UTC. Cerca de um minuto depois, 40,88 ETH chegaram à Ethereum.
Outros 488.315 USDT foram movidos para o protocolo cross-chain Mayan em seis transferências até as 12h53 UTC.
Após a segunda onda de vendas, a BNB também foi movimentada. A Mayan transportou 80 desses BNB às 13h05 UTC, e a deBridge cuidou de mais 139 às 13h06.
De acordo com os dados do Etherscan, a Mayan pagou cerca de 224,66 ETH e a deBridge 41,05 ETH, com o último recebimento ocorrendo às 13:06 UTC. O total foi de aproximadamente 306,6 ETH ou ~US$ 727.000, considerando o preço do ETH em 18 de outubro de ~US$ 2.372.
Até as 13:11 UTC, uma segunda carteira havia recebido 306,52 ETH por meio de cinco transferências. Seu primeiro depósito foi realizado cerca de duas horas antes da cunhagem.
A lista negra do contrato CYS não se estende ao ETH.
O atacante "obteve acesso não autorizado a um banco de dados usado por serviços que suportam a ponte e explorou uma vulnerabilidade na lógica de processamento relevante para enviar uma mensagem de cunhagem fraudulenta", afirmou a Fundação Cysic em um relatório de incidente publicado no X em 18 de outubro.
A fundação informou que o incidente foi isolado ao manuseio de mensagens da ponte e à cunhagem, não afetando o consenso, a produção de blocos e a execução da EVM na mainnet da Cysic. "Os ativos dos usuários existentes não foram roubados", disse ela.
A Cysic tem origem em 2022 e gera provas de conhecimento zero (zero-knowledge proofs) em hardware dedicado e em sua própria cadeia Layer 1. A Polychain Capital liderou sua rodada semente de US$ 6 milhões em 2023.
A fundação afirmou que o valor final em dólares não é determinado apenas pelos 10 milhões de tokens cunhados.
As transferências entre cadeias através da ponte permanecem offline até que a Cysic conclua uma revisão de segurança. Um segundo relatório sobre perdas verificadas e rastreamento de fundos está previsto.
O Cryptopolitan relatou que a Symbiosis suspendeu sua ponte Bitcoin em setembro quando um atacante cunhou um saldo sintético imenso, mas saiu com cerca de US$ 336.000.
Em junho, uma falha de validação permitiu que um atacante cunhasse cerca de 5 bilhões de SYS não autorizados. O Syscoin congelou sua ponte.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Perguntas Frequentes
Como o atacante explorou a Cysic?
O atacante obteve acesso não autorizado a um banco de dados que suporta a ponte e utilizou uma falha no processamento para enviar uma mensagem de cunho fraudulenta, informou a Cysic.
Quanto o atacante realmente roubou?
Aproximadamente 306,6 ETH, valendo ~US$ 727.000 ao preço do ETH em 18 de outubro, após vender 7,2 milhões de CYS.
A mainnet da Cysic foi afetada?
Não. A Cysic afirmou que o incidente ficou restrito ao processamento de mensagens e ao cunho na ponte, e os ativos existentes dos usuários não foram roubados.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
