Am 17. Oktober führte eine gefälschte Mint-Nachricht dazu, dass 10 Millionen nicht autorisierte CYS-Token aus der Cross-Chain-Bridge von Cysic ausgegeben wurden.
Der Angreifer verkaufte 7,2 Millionen davon und transferierte rund 727.000 US-Dollar zu Ethereum, bevor das Projekt die Token sperrte.
Zwei Verkaufsrunden brachten 588.315 USDT und 220 BNB ein
On-Chain-Daten zeigen, dass am 17. Oktober um 12:31 UTC ein betrügerischer Mint auf der BNB Smart Chain stattfand. Im Vorfallsbericht der Stiftung heißt es jedoch, dass Cysic die empfangende Wallet erst um 13:47 UTC im CYS-Vertrag auf die Blacklist setzte.
Die Lücke dauerte 76 Minuten. Die Adresse hatte 48 Minuten vor dem Freeze aufgehört, Token zu senden, und ihre Erlöse bis zum Einsetzen des Freeze von der BNB Chain transferiert.
Die Sperrliste machte den Rest unbrauchbar: etwa 2,8 Millionen CYS, die nicht mehr transferiert werden können. Rund 160,8 Millionen CYS sind im Umlauf.
Vorfallbericht der Cysic Foundation zur CYS-Sperrliste, veröffentlicht von @cysic_fdn auf X am 18. Oktober 2026.
Laut den Aufzeichnungen von BscScan erfolgte der Abverkauf in zwei Runden. Die ersten 5,65 Millionen CYS wurden innerhalb von fünf Minuten ab 12:36 UTC für 588.315 USDT verkauft – zu etwa 10 Cent pro Token.
Eine zweite, kleinere Runde fand von 12:57 bis 12:59 UTC statt. Für die letzten 1,55 Millionen Token brachte sie etwa 220 BNB ein.
Zwölf der 15 Verkäufe wurden über den DEX-Aggregator von OKX abgewickelt. Die Orders wurden auf mehrere Handelsplätze verteilt, darunter PancakeSwap.
Mayan, deBridge und SWFT transferierten 306,6 ETH zu Ethereum
Der Bridgers-Dienst von SWFT erhielt um 12:44 UTC die ersten 100.000 USDT. Etwa eine Minute später gingen 40,88 ETH auf Ethereum ein.
Weitere 488.315 USDT wurden bis 12:53 UTC in sechs Transfers an das Cross-Chain-Protokoll Mayan überwiesen.
Nach dem zweiten Abverkauf folgten BNB. Mayan transferierte um 13:05 UTC 80 dieser BNB, und deBridge wickelte um 13:06 weitere 139 ab.
Laut den Daten von Etherscan zahlte Mayan rund 224,66 ETH aus und deBridge 41,05 ETH; die letzten trafen um 13:06 UTC ein. Insgesamt waren es etwa 306,6 ETH beziehungsweise rund 727.000 US-Dollar, gemessen am ETH-Kurs vom 18. Oktober von etwa 2.372 US-Dollar.
Bis 13:11 UTC hatte eine zweite Wallet in fünf Transfers 306,52 ETH erhalten. Ihre erste Einzahlung erfolgte etwa zwei Stunden vor dem Minting.
Die Sperrliste des CYS-Kontrakts erfasst ETH nicht.
Der Angreifer habe sich „unbefugten Zugriff auf eine Datenbank verschafft, die von Diensten zur Unterstützung der Bridge genutzt wird, und eine Schwachstelle in der betreffenden Verarbeitungslogik ausgenutzt, um eine gefälschte Mint-Nachricht einzureichen“, erklärte die Cysic Foundation am 18. Oktober in einem Vorfallbericht auf X.
Die Foundation erklärte, der Vorfall sei auf die Verarbeitung von Bridge-Nachrichten und das Minting beschränkt gewesen und habe weder den Konsens noch die Blockproduktion oder die EVM-Ausführung im Cysic-Mainnet beeinträchtigt. „Vorhandene Nutzer-Assets wurden nicht gestohlen“, hieß es.
Cysic wurde 2022 gegründet und erstellt Zero-Knowledge-Beweise auf spezieller Hardware und seiner eigenen Layer-1-Blockchain. Polychain Capital führte 2023 die Seed-Finanzierungsrunde über 6 Millionen US-Dollar an.
Die Foundation erklärte, dass sich der endgültige Dollarbetrag nicht allein aus den 10 Millionen geminteten Token ergibt.
Cross-Chain-Transfers über die Bridge bleiben ausgesetzt, bis Cysic eine Sicherheitsüberprüfung abgeschlossen hat. Ein zweiter Bericht zu bestätigten Verlusten und zur Nachverfolgung der Gelder soll noch folgen.
Cryptopolitan berichtete, dass Symbiosis seine Bitcoin-Bridge im September aussetzte, nachdem ein Angreifer ein enormes synthetisches Guthaben gemintet hatte, aber mit nur etwa 336.000 US-Dollar davonkam.
Im Juni ermöglichte ein Validierungsfehler einem Angreifer, rund 5 Milliarden nicht autorisierte SYS zu minten. Syscoin fror seine Bridge ein.
Die klügsten Köpfe der Krypto-Branche lesen unseren Newsletter bereits. Lust, dabei zu sein? Mach mit.