Cysic Foundation приостановила свой кроссчейн-мост после того, как злоумышленник выпустил 10 млн токенов CYS в сети BNB Smart Chain. Токены появились без какого-либо реального обеспечения, и это как чек, который кто-то напечатал сам себе в банке.
Инцидент произошёл в субботу, 17 октября, а фонд рассказал о нём в воскресенье. Размер ущерба пока неизвестен, и одного количества токенов для оценки мало.
Что именно случилось с мостом Cysic?
Мост переносит токены между блокчейнами. В одной сети актив блокируется, во второй выпускается его копия. Для этого обе стороны обмениваются служебными сообщениями, и именно обработку таких сообщений злоумышленник обошёл. Фонд пишет, что атакующий использовал ошибку в этой обработке и выпустил 10 млн CYS в BNB Smart Chain.
Предварительные выводы указывают на несанкционированный доступ к базе данных, которая обслуживает мост. То есть речь не о взломе самого токена или кошельков пользователей, а об уязвимом месте в инфраструктуре вокруг моста.
Как это работает и где мост даёт сбой?
Чтобы понять масштаб проблемы, стоит разобрать схему "заблокировать и выпустить". Пользователь отправляет токены в контракт в сети А, мост подтверждает это сообщением, а в сети Б появляется равное количество копий. Всё держится на доверии к сообщению.
- Сообщение: мост выпускает токены только тогда, когда получает подтверждение, что на другой стороне что-то заблокировано.
- Если подделать или подменить это подтверждение, мост выдаст токены без обеспечения.
- База данных, где хранятся служебные данные моста, становится критической точкой, ведь доступ к ней позволяет влиять на результат.
- Токены, выпущенные таким способом, выглядят как обычные, и рынок не отличит их от законных, пока контракт не заблокирует адрес.
Поэтому мосты давно считают одним из самых слабых мест в DeFi. Инфраструктуры много, доверия нужно тоже много, а ошибка стоит дорого.
Что известно о хронологии и деньгах?
Выпуск произошёл в 12:31:38 по UTC 17 октября. Адрес получателя добавили в чёрный список в контракте токена в 13:47:52, то есть через 1 час 16 минут. Как сообщает The Block, злоумышленник перевёл в Ethereum примерно $727 000.
На адресе осталось около 2,8 млн CYS, и переводить их теперь нельзя. По нашему расчёту, примерно 7,2 млн токенов этот адрес уже покинули. Обращение CYS оценивается примерно в 160,8 млн по данным CoinMarketCap, так что 10 млн это около 6% всего количества.
Чёрный список в контракте токена это функция, которая запрещает адресу переводить токены. Она не отменяет выпуск и не возвращает то, что уже ушло, но замораживает остаток.
Пострадали ли пользователи и кошельки?
По словам фонда, инцидент ограничился обработкой сообщений моста и выпуском токенов. Основная сеть Cysic и другие системы не пострадали. Фонд также заявил, что не было кражи или несанкционированного перевода существующих CYS или других активов в кошельках пользователей.
Это не значит, что убытков нет. Появление 10 млн новых токенов размывает долю каждого владельца. Фонд прямо признаёт, что итоговые потери зависят от переводов, обменов и реальных убытков, которые ещё проверяют.
Что делать владельцам CYS и что будет дальше?
Фонд привлёк внешнюю охранную фирму, название которой не раскрывает, и обещает опубликовать отчёт после завершения текущего этапа расследования. До тех пор мост лучше не использовать. Об угрозе для токенов, которые лежат в криптокошельках, фонд не сообщает.
Для рынка это очередной пример того, как инфраструктура вокруг токена оказывается уязвимее самого токена. Если отчёт подтвердит доступ к базе, он покажет, где именно было слабое звено. Пока можно сказать одно: деньги, ушедшие в Ethereum, вернуть уже сложно.
Комментарии
Ваш e-mail адрес не будет опубликован. Обязательные поля отмечены *