Черный список Cysic появился через 76 минут после минта, когда было продано 7,2 млн CYS

17 октября поддельное сообщение о создании токенов вывело из кроссчейн-моста Cysic 10 миллионов несанкционированных токенов CYS.

Кошелёк злоумышленника сбросил 7,2 миллиона из них и перевёл около $727 000 в Ethereum до того, как проект заблокировал его.

Два раунда продаж принесли 588,315 $USDT и 220 $BNB

Ончейн-данные показывают, что мошенническое создание токенов произошло в сети $BNB Smart Chain в 12:31 UTC 17 октября. Однако отчёт фонда об инциденте указывает, что Cysic не добавил получающий кошелёк в чёрный список контракта CYS до 13:47 UTC.

Разрыв составил 76 минут. Адрес перестал отправлять токены за 48 минут до заморозки и успел вывести средства с $BNB Chain к моменту блокировки.

Черный список забрал остатки: ~2,8 млн CYS, которые больше нельзя перевести. В обращении находится около 160,8 млн CYS.

Согласно данным BscScan, распродажа прошла в два этапа. Первые 5,65 млн CYS были проданы за 588 315 $USDT за пять минут в период с 12:36 UTC по цене около 10 центов за токен.

Второй, меньший раунд прошел с 12:57 до 12:59 UTC. За него было получено около 220 $BNB за последние 1,55 млн токенов.

Двенадцать из 15 сделок были совершены через DEX-агрегатор OKX. Ордера были распределены между несколькими площадками, включая PancakeSwap.

Mayan, deBridge и SWFT вывели 306.6 $ETH в сеть Ethereum

Сервис Bridgers от SWFT первым принял 100 000 $USDT в 12:44 UTC. Примерно через минуту на Ethereum поступило 40,88 $ETH.

Еще 488 315 $USDT были переведены в кросс-чейн протокол Mayan шестью транзакциями к 12:53 UTC.

После второй распродажи последовали $BNB. Mayan вывел 80 таких $BNB в 13:05 UTC, а deBridge обработал еще 139 в 13:06.

Согласно данным Etherscan, Mayan выплатил около 224,66 $ETH, а deBridge — 41,05 $ETH; последняя транзакция была выполнена в 13:06 UTC. Общая сумма составила ~306,6 $ETH или ~727 000 долларов США по цене $ETH на 18 октября (~2 372 доллара).

К 13:11 UTC второй кошелек получил 306,52 $ETH через пять переводов. Его первый депозит был сделан примерно за два часа до минта.

Черный список контракта CYS не распространяется на $ETH.

«Злоумышленник получил несанкционированный доступ к базе данных, используемой службами, поддерживающими мост, и эксплуатировал уязвимость в соответствующей логике обработки для отправки мошеннического сообщения о минте», — говорится в отчете об инциденте Foundation Cysic в X от 18 октября.

Фонд заявил, что инцидент затронул только обработку сообщений моста и минтинг и не повлиял на консенсус, производство блоков и выполнение EVM в основной сети Cysic. «Существующие активы пользователей не были украдены», — отметили они.

Cysic основана в 2022 году и генерирует доказательства с нулевым разглашением на выделенном оборудовании и собственной Layer 1-цепочке. Polychain Capital возглавила раунд финансирования серии Seed объемом 6 млн долларов в 2023 году.

Фонд отметил, что итоговая сумма в долларах определяется не только 10 миллионами минтированных токенов.

Перекрестные переводы через мост остаются в офлайн-режиме до завершения Cysic проверки безопасности. Второй отчет о подтвержденных потерях и отслеживании средств ожидается.

Cryptopolitan сообщил, что Symbiosis приостановила свой биткоин-мост в сентябре, когда злоумышленник создал огромную синтетическую балансировку, но ушёл с примерно $336 000.

В июне ошибка валидации позволила злоумышленнику создать около 5 миллиардов несанкционированных SYS. Syscoin заморозил свой мост.