Cysic зупинила міст після несанкціонованого випуску 10 млн CYS

Cysic Foundation призупинила свій кросчейн-міст після того, як зловмисник випустив 10 млн токенів CYS у мережі BNB Smart Chain. Токени з'явилися без жодного реального забезпечення, а це як чек, який хтось надрукував сам собі в банку.

Інцидент стався в суботу, 17 жовтня, а фонд розповів про нього в неділю. Вартість збитків поки що невідома, і самої кількості токенів для оцінки замало.

Що саме сталося з мостом Cysic?

Міст переносить токени між блокчейнами. На одній мережі актив блокується, на другій випускається його копія. Для цього обидві сторони обмінюються службовими повідомленнями, і саме обробку таких повідомлень зловмисник обійшов. Фонд пише, що атакуючий використав помилку в цій обробці й випустив 10 млн CYS на BNB Smart Chain.

Попередні висновки вказують на несанкціонований доступ до бази даних, яка обслуговує міст. Тобто йдеться не про злам самого токена чи гаманців користувачів, а про вразливе місце в інфраструктурі навколо мосту.

Як це працює і де міст дає збій?

Щоб зрозуміти масштаб проблеми, варто розібрати схему "заблокувати і випустити". Користувач відправляє токени в контракт на мережі А, міст підтверджує це повідомленням, а на мережі Б з'являється рівна кількість копій. Все тримається на довірі до повідомлення.

• Повідомлення: міст випускає токени лише тоді, коли отримує підтвердження, що на іншій стороні щось заблоковано.
• Якщо підробити або підмінити це підтвердження, міст видасть токени без забезпечення.
• База даних, яка зберігає службові дані мосту, стає критичною точкою, бо доступ до неї дозволяє впливати на результат.
• Токени, випущені таким чином, виглядають як звичайні, і ринок не відрізнить їх від законних, поки контракт не заблокує адресу.

Саме тому мости давно вважають одним із найслабших місць у DeFi. Інфраструктури багато, довіри потрібно теж багато, а помилка коштує дорого.

Що відомо про хронологію і гроші?

Випуск стався о 12:31:38 за UTC 17 жовтня. Адресу отримувача додали до чорного списку в контракті токена о 13:47:52, тобто через 1 годину 16 хвилин. Як повідомляє The Block, зловмисник перевів на Ethereum приблизно $727 000.

На адресі залишилося близько 2,8 млн CYS, і переказувати їх тепер не можна. За нашим розрахунком, приблизно 7,2 млн токенів цю адресу вже покинули. Обіг CYS оцінюється приблизно у 160,8 млн, за даними CoinMarketCap, тож 10 млн це близько 6% від усієї кількості.

Чорний список у контракті токена це функція, яка забороняє адресі переказувати токени. Вона не скасовує випуск і не повертає те, що вже пішло, але заморожує залишок.

Чи постраждали користувачі й гаманці?

За словами фонду, інцидент обмежився обробкою повідомлень мосту та випуском токенів. Основна мережа Cysic та інші системи не зазнали впливу. Фонд також заявив, що не було викрадення чи несанкціонованого переказу наявних CYS або інших активів у гаманцях користувачів.

Це не означає, що збитків немає. Поява 10 млн нових токенів розмиває частку кожного власника. Фонд прямо визнає, що остаточні збитки залежать від переказів, обмінів і реальних втрат, які ще перевіряють.

Що робити власникам CYS і що буде далі?

Фонд залучив зовнішню охоронну фірму, назву якої не розкриває, і обіцяє опублікувати звіт після завершення поточного етапу розслідування. До того міст краще не використовувати. Про загрозу для токенів, які лежать у крипто-гаманцях, фонд не повідомляє.

Для ринку це черговий приклад, як інфраструктура навколо токена виявляється вразливішою за сам токен. Якщо звіт підтвердить доступ до бази, він покаже, де саме була слабка ланка. Поки що можна сказати одне: гроші, які пішли на Ethereum, вже складно повернути.