En resumen:
Cysic detuvo su puente después de que un atacante acuñara 10 millones de tokens CYS sin respaldo en BNB Smart Chain.
Cysic incluyó la billetera en una lista negra unos 76 minutos después, restringiendo 2,8 millones de CYS, o el 28 % de lo acuñado.
Los primeros informes en cadena vinculan la venta de 7,2 millones de CYS con 306,6 ETH, valorados en aproximadamente 727.000 dólares, en Ethereum.
Los 10 millones de tokens no autorizados equivalían al 1 % de la oferta total, mientras que las operaciones de la red principal no se vieron afectadas.
Cysic suspendió su puente entre cadenas después de que un atacante creara 10 millones de tokens CYS no autorizados en BNB Smart Chain y transfiriera a Ethereum los fondos obtenidos, según los informes. La brecha del 17 de octubre dejó al descubierto fallas en la autenticación de los mensajes del puente que autorizaban la emisión de tokens.
La acuñación ocurrió a las 12:31:38 UTC, según el informe del incidente del 18 de octubre. Los investigadores rastrearon la brecha hasta un acceso no autorizado a una base de datos del puente. El atacante aprovechó entonces una vulnerabilidad en el procesamiento de mensajes para enviar instrucciones de acuñación fraudulentas sin una transferencia de activos correspondiente.
La actividad en cadena citada en los primeros informes vinculó el incidente con la venta de 7,2 millones de tokens y la recepción de aproximadamente 306,6 ETH en Ethereum. Esos ingresos se valoraron en cerca de 727.000 dólares, aunque la fundación no ha verificado el historial completo de transacciones ni las pérdidas finales.
Cómo un hacker acuñó 10 millones de CYS antes de que Cysic suspendiera su puente
Los puentes entre cadenas utilizan mensajes autenticados para reconocer transferencias entre cadenas de bloques y liberar los activos correspondientes. En este caso, unas instrucciones fraudulentas hicieron que el sistema acuñara tokens sin el respaldo de una transferencia legítima. Por tanto, la brecha se centró en la validación de los mensajes del puente, no en un fallo del mecanismo de consenso de la red subyacente.
Cysic incluyó la dirección receptora en una lista negra a las 13:47:52 UTC, unos 76 minutos después de la acuñación. Para entonces, quedaban 2,8 millones de tokens en la cartera bloqueada. Esa cantidad representaba el 28 % de la emisión; los 7,2 millones restantes, o el 72 %, ya se habían transferido. El puente entre cadenas del proyecto fue suspendido para evitar nuevas actividades no autorizadas.
Una empresa externa de seguridad está examinando ahora los mensajes del puente, los permisos y los registros de activos, mientras los investigadores rastrean las direcciones afectadas. El puente sigue cerrado y no hay una fecha prevista para su reapertura, a la espera de una revisión y validación de seguridad.
La acuñación no autorizada de 10 millones de CYS equivale al 1 % de la oferta mientras continúa la investigación
La magnitud de la emisión importa más allá de los ingresos por transferencias reportados. La documentación de la tokenómica del proyecto establece una oferta total de 1.000 millones de tokens, destinados a la gobernanza, los servicios de computación y los incentivos de la red. Las 10 millones de unidades no autorizadas equivalían al 1 % de esa oferta declarada, lo que plantea dudas sobre los tokens que siguen en circulación y no se han recuperado.
Sin embargo, la cantidad transferida a Ethereum no debe considerarse la pérdida financiera confirmada. Aunque el rastreo inicial atribuyó 306,6 ETH al atacante, la fundación aún no ha determinado cuánto retuvo finalmente. Del mismo modo, los 2,8 millones de tokens restringidos son una medida de contención verificada, no una prueba de recuperación.
El consenso de la red principal, la producción de bloques y la ejecución de transacciones continuaron con normalidad, y los activos existentes en las carteras de los usuarios no se vieron afectados. También se ha advertido a los usuarios que desconfíen de enlaces falsos de compensación, ofertas de recuperación y solicitudes de claves privadas. Se espera que un informe posterior detalle las pérdidas verificadas, el rastreo de fondos y las medidas correctivas.
La publicación «Cysic suspende el puente después de que un hacker acuña 10 millones de CYS y transfiere 727.000 dólares a Ethereum» apareció primero en Blockonomi.