Über Nacht wurden 10 Millionen Token aus dem Nichts geprägt – genau 1 % des Gesamtangebots. Zum aktuellen Kurs sind sie aber nur 1,18 Millionen US-Dollar wert 🦖
Am Samstag wurde die Cross-Chain-Bridge von Cysic geknackt. Der Angreifer nutzte eine Schwachstelle im Verarbeitungsprozess, um auf der BNB Smart Chain 10 Millionen CYS aus dem Nichts zu prägen. Das Team setzte die Empfangsadresse erst 1 Stunde und 16 Minuten später auf die Blacklist. Zu diesem Zeitpunkt befanden sich noch 2,8 Millionen Token auf der Adresse, umgerechnet etwa 330.000 US-Dollar 💥
👉 进群看盘面
Diese Zeitleiste geht aus dem Vorfallsbericht hervor, den das Team am Sonntag in den sozialen Medien veröffentlichte. Die Prägung fand am Samstag um 12:31 Uhr statt, die Sperrung um 13:47 Uhr. Eine erste Untersuchung deutet auf die Datenbank hin, die diese Bridge unterstützt: Jemand hatte sich Zugriff verschafft, der ihm nicht hätte gewährt werden dürfen ⚠️
Laut Cysic waren nur die Verarbeitung von Cross-Chain-Nachrichten und die Token-Prägung betroffen. Das Mainnet und andere laufende Systeme seien nicht beeinträchtigt. Bereits in den Wallets der Nutzer befindliche CYS und andere Vermögenswerte wurden weder gestohlen noch unbefugt transferiert. Das ist ein wichtiger Unterschied: Dadurch wird aus einem Diebstahl von Vermögenswerten eine Verwässerung durch zusätzliche Token. Im ersten Fall ist das Geld der Nutzer weg, im zweiten sind plötzlich zusätzliche Token unbekannter Herkunft im Umlauf.
Der Bericht beantwortet jedoch zwei noch wichtigere Fragen nicht: Wie konnte jemand auf die Datenbank zugreifen? Und wie lange bestand diese Schwachstelle schon auf der Blockchain? Eine Datenbank, auf die unbefugt zugegriffen werden kann und die darüber entscheidet, wie viele Token die Bridge prägt – das Berechtigungsmodell dieser Bridge muss gründlich überprüft werden.
Ein Blick auf die Zahlen macht die Sache noch interessanter: Von insgesamt 1 Milliarde Token entsprechen 10 Millionen genau 1 %. Der aktuelle CYS-Kurs liegt bei 0,1182 US-Dollar, die Marktkapitalisierung beträgt nur 18,99 Millionen US-Dollar und der Kurs ist innerhalb von 24 Stunden um 6,2 % gefallen. Die 10 Millionen Token sind zum aktuellen Kurs also etwa 1,18 Millionen US-Dollar wert; die 2,8 Millionen Token, die noch auf der Adresse liegen, rund 330.000 US-Dollar. Für eine Blockchain mit einer Marktkapitalisierung von weniger als 20 Millionen US-Dollar ist eine Ausweitung des Angebots um 1 % kein Pappenstiel – aber auch keine Menge, die den Markt sofort zum Absturz bringen dürfte.
Was wirklich aufgebraucht wird, ist Vertrauen. Im Kern bedeutet eine Cross-Chain-Bridge, dass eine Blockchain ihre Glaubwürdigkeit einer anderen leiht. Sobald Außenstehende die Prägungsberechtigung ausnutzen können, muss man jeden künftig über die Bridge transferierten Vermögenswert mit einem Abschlag bewerten. Das Team hat bereits ein Sicherheitsunternehmen eingeschaltet und angekündigt, nach Abschluss der Untersuchung einen Folgebericht zu veröffentlichen. Im Moment ist das nur eine Zusicherung, noch kein Ergebnis.
Ich behalte drei Punkte im Auge. Erstens: Hält die Blacklist stand, oder versucht der Angreifer, die übrigen Token per Cross-Chain-Transfer abzuziehen? Zweitens: Was geschieht mit der Adresse, auf der die 2,8 Millionen Token liegen? Werden sie auf neue Adressen verteilt? Drittens: Wird der Bericht den konkreten Zugriffsweg auf die Datenbank offenlegen? Wenn dort nur von einem externen Angriff die Rede ist, ist der Bericht wertlos.
Ein leicht zu übersehendes Detail: Die Marktkapitalisierung dieser Blockchain ist winzig und die Liquidität sehr gering. Bei einem Marktvolumen von 19 Millionen US-Dollar kann schon eine große Verkaufsorder einen zweistelligen Kursrückgang auslösen. Selbst wenn der Angreifer die Token nicht abziehen kann, reicht die Panik allein aus, um einen weiteren Schaden anzurichten 📉
Cysic positioniert sich als ComputeFi-Projekt und will Rechenleistung in überprüfbare On-Chain-Vermögenswerte verwandeln. Das Gesamtangebot beträgt 1 Milliarde Token. Für Infrastrukturprojekte dieser Art ist nicht der schlimmste Fall, einmal bestohlen zu werden, sondern der Nachweis, dass Außenstehende die Prägungsberechtigung aushebeln können. Rechenleistung lässt sich wiederherstellen – Vertrauen wieder aufzubauen dauert viel länger.
In den letzten Jahren gab es bei Cross-Chain-Bridges zu viele Vorfälle. Der Ablauf ist fast immer derselbe: erst pausieren, dann untersuchen, anschließend einen Bericht veröffentlichen und am Ende entschädigen – oder eben nicht. Der einzige Unterschied diesmal: Der Betrag ist gering, und niemand wurde in eine ausweglose Lage gebracht.
Wie viele Bridges in diesem Bereich haben deiner Meinung nach noch unentdeckte Schwachstellen? Schreib es in die Kommentare.
Tippe auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag verfolgen wir mit dir die wichtigsten Themen rund um Krypto-Sicherheit. Wir berichten nicht nur, was passiert ist, sondern erklären dir auch die Hintergründe und Chancen 👀🚀
Am Samstag wurde die Cross-Chain-Bridge von Cysic geknackt. Der Angreifer nutzte eine Schwachstelle im Verarbeitungsprozess, um auf der BNB Smart Chain 10 Millionen CYS aus dem Nichts zu prägen. Das Team setzte die Empfangsadresse erst 1 Stunde und 16 Minuten später auf die Blacklist. Zu diesem Zeitpunkt befanden sich noch 2,8 Millionen Token auf der Adresse, umgerechnet etwa 330.000 US-Dollar 💥
👉 进群看盘面
Diese Zeitleiste geht aus dem Vorfallsbericht hervor, den das Team am Sonntag in den sozialen Medien veröffentlichte. Die Prägung fand am Samstag um 12:31 Uhr statt, die Sperrung um 13:47 Uhr. Eine erste Untersuchung deutet auf die Datenbank hin, die diese Bridge unterstützt: Jemand hatte sich Zugriff verschafft, der ihm nicht hätte gewährt werden dürfen ⚠️
Laut Cysic waren nur die Verarbeitung von Cross-Chain-Nachrichten und die Token-Prägung betroffen. Das Mainnet und andere laufende Systeme seien nicht beeinträchtigt. Bereits in den Wallets der Nutzer befindliche CYS und andere Vermögenswerte wurden weder gestohlen noch unbefugt transferiert. Das ist ein wichtiger Unterschied: Dadurch wird aus einem Diebstahl von Vermögenswerten eine Verwässerung durch zusätzliche Token. Im ersten Fall ist das Geld der Nutzer weg, im zweiten sind plötzlich zusätzliche Token unbekannter Herkunft im Umlauf.
Der Bericht beantwortet jedoch zwei noch wichtigere Fragen nicht: Wie konnte jemand auf die Datenbank zugreifen? Und wie lange bestand diese Schwachstelle schon auf der Blockchain? Eine Datenbank, auf die unbefugt zugegriffen werden kann und die darüber entscheidet, wie viele Token die Bridge prägt – das Berechtigungsmodell dieser Bridge muss gründlich überprüft werden.
Ein Blick auf die Zahlen macht die Sache noch interessanter: Von insgesamt 1 Milliarde Token entsprechen 10 Millionen genau 1 %. Der aktuelle CYS-Kurs liegt bei 0,1182 US-Dollar, die Marktkapitalisierung beträgt nur 18,99 Millionen US-Dollar und der Kurs ist innerhalb von 24 Stunden um 6,2 % gefallen. Die 10 Millionen Token sind zum aktuellen Kurs also etwa 1,18 Millionen US-Dollar wert; die 2,8 Millionen Token, die noch auf der Adresse liegen, rund 330.000 US-Dollar. Für eine Blockchain mit einer Marktkapitalisierung von weniger als 20 Millionen US-Dollar ist eine Ausweitung des Angebots um 1 % kein Pappenstiel – aber auch keine Menge, die den Markt sofort zum Absturz bringen dürfte.
Was wirklich aufgebraucht wird, ist Vertrauen. Im Kern bedeutet eine Cross-Chain-Bridge, dass eine Blockchain ihre Glaubwürdigkeit einer anderen leiht. Sobald Außenstehende die Prägungsberechtigung ausnutzen können, muss man jeden künftig über die Bridge transferierten Vermögenswert mit einem Abschlag bewerten. Das Team hat bereits ein Sicherheitsunternehmen eingeschaltet und angekündigt, nach Abschluss der Untersuchung einen Folgebericht zu veröffentlichen. Im Moment ist das nur eine Zusicherung, noch kein Ergebnis.
Ich behalte drei Punkte im Auge. Erstens: Hält die Blacklist stand, oder versucht der Angreifer, die übrigen Token per Cross-Chain-Transfer abzuziehen? Zweitens: Was geschieht mit der Adresse, auf der die 2,8 Millionen Token liegen? Werden sie auf neue Adressen verteilt? Drittens: Wird der Bericht den konkreten Zugriffsweg auf die Datenbank offenlegen? Wenn dort nur von einem externen Angriff die Rede ist, ist der Bericht wertlos.
Ein leicht zu übersehendes Detail: Die Marktkapitalisierung dieser Blockchain ist winzig und die Liquidität sehr gering. Bei einem Marktvolumen von 19 Millionen US-Dollar kann schon eine große Verkaufsorder einen zweistelligen Kursrückgang auslösen. Selbst wenn der Angreifer die Token nicht abziehen kann, reicht die Panik allein aus, um einen weiteren Schaden anzurichten 📉
Cysic positioniert sich als ComputeFi-Projekt und will Rechenleistung in überprüfbare On-Chain-Vermögenswerte verwandeln. Das Gesamtangebot beträgt 1 Milliarde Token. Für Infrastrukturprojekte dieser Art ist nicht der schlimmste Fall, einmal bestohlen zu werden, sondern der Nachweis, dass Außenstehende die Prägungsberechtigung aushebeln können. Rechenleistung lässt sich wiederherstellen – Vertrauen wieder aufzubauen dauert viel länger.
In den letzten Jahren gab es bei Cross-Chain-Bridges zu viele Vorfälle. Der Ablauf ist fast immer derselbe: erst pausieren, dann untersuchen, anschließend einen Bericht veröffentlichen und am Ende entschädigen – oder eben nicht. Der einzige Unterschied diesmal: Der Betrag ist gering, und niemand wurde in eine ausweglose Lage gebracht.
Wie viele Bridges in diesem Bereich haben deiner Meinung nach noch unentdeckte Schwachstellen? Schreib es in die Kommentare.
Tippe auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag verfolgen wir mit dir die wichtigsten Themen rund um Krypto-Sicherheit. Wir berichten nicht nur, was passiert ist, sondern erklären dir auch die Hintergründe und Chancen 👀🚀