Команда Cysic приостановила межсетевой мост после атаки, позволившей выпустить 10 млн CYS без обеспечения на BNB Smart Chain. По предварительным выводам проекта, злоумышленник получил несанкционированный доступ к базе данных, которую использовали сервисы моста, а затем воспользовался уязвимостью в логике обработки сообщений и отправил поддельный запрос на выпуск токенов.
Атака произошла 17 октября в 12:31:38 UTC. Уже через пять минут адрес начал перемещать созданные CYS. По данным блокчейна, до блокировки было продано 7,2 млн токенов: 5,65 млн обменяли примерно на 588,315 USDT, ещё 1,55 млн — примерно на 220 BNB. Большая часть операций прошла через агрегатор децентрализованных бирж OKX с использованием ликвидности, в том числе PancakeSwap.
Выручку быстро вывели из BNB Smart Chain
Полученные активы начали переводить в Ethereum ещё до окончания продаж CYS. Для этого злоумышленник использовал несколько межсетевых сервисов — SWFT Bridgers, Mayan и deBridge.
В результате в Ethereum поступило около 306,6 ETH, которые на момент подсчёта оценивались примерно в $727 тыс. После этого почти вся сумма была переведена на второй Ethereum-адрес.
Эти $727 тыс. не следует считать официально подтверждённым размером ущерба Cysic. Разработчики проекта предупредили, что количество выпущенных токенов само по себе не отражает финансовые потери и окончательная оценка ещё проводится.
Блокировка остановила оставшиеся 2,8 млн CYS
Адрес получателя внесли в чёрный список контракта CYS в 13:47:52 UTC примерно через 76 минут после несанкционированного выпуска. К этому моменту на нём оставалось около 2,8 млн CYS, которые теперь нельзя переместить. Активы, уже обменянные на другие токены и выведенные в Ethereum, эта мера не затронула.
При этом 10 млн выпущенных токенов соответствуют 1% максимального предложения CYS, которое по официальной токеномике составляет 1 млрд монет.
Пользовательские активы, по данным Cysic, не похищены
В Cysic утверждают, что атака была ограничена инфраструктурой обработки сообщений и выпуска токенов межсетевого моста. Основная сеть продолжила работу, а существующие CYS и другие активы в кошельках пользователей не были похищены. Сам мост остаётся отключенным до завершения проверки безопасности.
Точная первопричина пока не установлена. Из предварительного отчёта известно лишь, что доступ к вспомогательной базе данных в сочетании с ошибкой обработки позволил сформировать сообщение, которое привело к выпуску токенов. Cysic привлекла компанию по безопасности и пообещала опубликовать отчёт после завершения расследования.
Инцидент показал слабое место архитектуры межсетевых мостов: для атаки не обязательно взламывать основную сеть, если внешняя инфраструктура способна передать контракту ложное, но принятое им как доверенное сообщение.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
