Злоумышленник Cysic продал 7,2 млн CYS до того, как 76-минутный блэклист заморозил остаток
- Злоумышленник создал 10 миллионов CYS через кроссчейн-мост Cysic 17 октября.
- Кошелёк продал 7,2 миллиона CYS и перевёл около $727 000 в Ethereum.
- Cysic добавил кошелёк в чёрный список через 76 минут после создания токенов, заморозив около 2,8 миллиона CYS.
17 октября поддельное сообщение о создании токенов вывело из кроссчейн-моста Cysic 10 миллионов несанкционированных токенов CYS.
Кошелёк злоумышленника сбросил 7,2 миллиона из них и перевёл около $727 000 в Ethereum до того, как проект заблокировал его.
Два раунда продаж принесли 588,315 USDT и 220 BNB
Ончейн-данные показывают, что мошенническое создание токенов произошло в сети BNB Smart Chain в 12:31 UTC 17 октября. Однако отчёт фонда об инциденте указывает, что Cysic не добавил получающий кошелёк в чёрный список контракта CYS до 13:47 UTC.
Разрыв составил 76 минут. Адрес перестал отправлять токены за 48 минут до заморозки и успел вывести средства с BNB Chain к моменту блокировки.
Черный список забрал остатки: ~2,8 млн CYS, которые больше нельзя перевести. В обращении находится около 160,8 млн CYS.
Согласно данным BscScan, распродажа прошла в два этапа. Первые 5,65 млн CYS были проданы за 588 315 USDT за пять минут в период с 12:36 UTC по цене около 10 центов за токен.
Второй, меньший раунд прошел с 12:57 до 12:59 UTC. За него было получено около 220 BNB за последние 1,55 млн токенов.
Двенадцать из 15 сделок были совершены через DEX-агрегатор OKX. Ордера были распределены между несколькими площадками, включая PancakeSwap.
Mayan, deBridge и SWFT вывели 306.6 ETH в сеть Ethereum
Сервис Bridgers от SWFT первым принял 100 000 USDT в 12:44 UTC. Примерно через минуту на Ethereum поступило 40,88 ETH.
Еще 488 315 USDT были переведены в кросс-чейн протокол Mayan шестью транзакциями к 12:53 UTC.
После второй распродажи последовали BNB. Mayan вывел 80 таких BNB в 13:05 UTC, а deBridge обработал еще 139 в 13:06.
Согласно данным Etherscan, Mayan выплатил около 224,66 ETH, а deBridge — 41,05 ETH; последняя транзакция была выполнена в 13:06 UTC. Общая сумма составила ~306,6 ETH или ~727 000 долларов США по цене ETH на 18 октября (~2 372 доллара).
К 13:11 UTC второй кошелек получил 306,52 ETH через пять переводов. Его первый депозит был сделан примерно за два часа до минта.
Черный список контракта CYS не распространяется на ETH.
«Злоумышленник получил несанкционированный доступ к базе данных, используемой службами, поддерживающими мост, и эксплуатировал уязвимость в соответствующей логике обработки для отправки мошеннического сообщения о минте», — говорится в отчете об инциденте Foundation Cysic в X от 18 октября.
Фонд заявил, что инцидент затронул только обработку сообщений моста и минтинг и не повлиял на консенсус, производство блоков и выполнение EVM в основной сети Cysic. «Существующие активы пользователей не были украдены», — отметили они.
Cysic основана в 2022 году и генерирует доказательства с нулевым разглашением на выделенном оборудовании и собственной Layer 1-цепочке. Polychain Capital возглавила раунд финансирования серии Seed объемом 6 млн долларов в 2023 году.
Фонд отметил, что итоговая сумма в долларах определяется не только 10 миллионами минтированных токенов.
Перекрестные переводы через мост остаются в офлайн-режиме до завершения Cysic проверки безопасности. Второй отчет о подтвержденных потерях и отслеживании средств ожидается.
Cryptopolitan сообщил, что Symbiosis приостановила свой биткоин-мост в сентябре, когда злоумышленник создал огромную синтетическую балансировку, но ушёл с примерно $336 000.
В июне ошибка валидации позволила злоумышленнику создать около 5 миллиардов несанкционированных SYS. Syscoin заморозил свой мост.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Как злоумышленник использовал уязвимость Cysic?
По словам Cysic, злоумышленник получил несанкционированный доступ к базе данных, поддерживающей мост, и использовал ошибку обработки для отправки поддельного сообщения о минте.
Сколько именно похитил злоумышленник?
Около 306,6 ETH, что составляет ~727 000 долларов США по цене ETH на 18 октября, после продажи 7,2 млн токенов CYS.
Пострадал ли основной нет (mainnet) Cysic?
Нет. Cysic сообщил, что инцидент ограничился обработкой сообщений и процессом минтинга в рамках моста, а существующие активы пользователей не были украдены.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
