18 октября через кроссчейн-мост Cysic без разрешения выпустили 10 миллионов токенов CYS, после чего команда приостановила работу моста. В объявлении всё было сказано предельно ясно: затронуты только обработка сообщений моста и выпуск токенов, с основной сетью и другими системами всё в порядке.

Я посмотрел оригинал объявления — формулировка очень точная: «ограничилось обработкой сообщений моста и выпуском токенов». Если сказать проще: кто-то воспользовался уязвимостью в правах на выпуск токенов через мост, и из ниоткуда появилось ещё 10 миллионов токенов, но реестр основной сети не был изменён.

Проблема в том, что право выпускать токены через мост часто становится скрытым краном, увеличивающим их предложение в обращении.

Мне не удалось найти актуальные данные об объёме CYS в обращении, но 10 миллионов токенов — это немало для любого проекта с малой или средней капитализацией. Если мостовой контракт может минтить токены, значит, у него есть право на дополнительную эмиссию.

Изначально это право было нужно, чтобы блокировать и разблокировать активы при переводе между блокчейнами. Но если им воспользовались без разрешения, это равносильно обходу всех процедур управления и прямому вливанию токенов на рынок.

Команда говорит, что с основной сетью всё в порядке, и технически это может быть правдой: узлы основной сети не взломаны, консенсус не нарушен. Но «с основной сетью всё в порядке» и «с держателями токенов всё в порядке» — совсем разные вещи.

Если лишние 10 миллионов CYS, появившиеся в мосте, уже попали на вторичный рынок, давление на цену вполне реально. Если ещё не попали, над рынком всё равно нависает угроза продаж.

Я видел слишком много проектов, которые успокаивают сообщество словами «пострадал только мост». Но между правом моста на выпуск токенов и их объёмом в обращении нет никакой изолирующей стены.

Изучая данные, я заметил, что в объявлении Cysic не указано, на каком адресе сейчас находятся эти 10 миллионов CYS и заморожены ли они. Сказано лишь, что работу моста приостановили до завершения расследования.

Такие пробелы в информации встречаются часто, но именно они вызывают наибольший дискомфорт. Непонятно, лежат ли эти 10 миллионов в кошельке хакера или их уже разбили на мелкие ордера и выставили на бирже.

Атаки на межсетевые мосты — не новость, но «несанкционированный выпуск токенов» и «кража заблокированных активов» наносят разный ущерб. Во втором случае крадут уже существующие токены, в первом — создают новые.

Как только новые токены попадают в обращение, доля каждого держателя размывается, причём без ограничений: пока право на выпуск сохраняется, можно минтить ещё.

Cysic правильно сделала, приостановив работу моста, но это не решит проблему уже выпущенных 10 миллионов CYS. Их нужно либо сжечь, либо доказать, что они не попали на рынок. Иначе слова «основная сеть не пострадала» — лишь самоуспокоение на техническом уровне.

Я слежу за ситуацией и обращаю внимание на два момента: во-первых, когда Cysic опубликует данные о перемещении этих 10 миллионов CYS в блокчейне; во-вторых, проведут ли сжигание токенов или сделают снапшот до возобновления работы моста.

Если в течение недели не появится чётких данных о заморозке адреса или сжигании токенов, к словам «пострадал только мост» стоит отнестись с сомнением.

Проблема с правами доступа к мостам давняя, но каждый раз после инцидента кто-нибудь использует фразу «с основной сетью всё в порядке» как ширму. С основной сетью — да, а твои средства находятся на мосту.