Взлом моста Cysic: атакующий напечатал 10 млн CYS на BNB Chain и вывел около $727 тыс. до блокировки

Взлом моста Cysic обошёлся без кражи из кошельков, но не без денег: 17 октября атакующий напечатал 10 млн CYS на BNB Smart Chain, за минуты продал 7,2 млн и увёл около 306,6 ETH (примерно $727 тыс.) в сеть Ethereum. Проект остановил мост и занёс адрес в чёрный список — но только через 76 минут после минта.

Что произошло

Cysic — децентрализованная сеть вычислений для генерации ZK-доказательств со своим layer-1 на консенсусе Proof-of-Compute, где валидаторы стейкают CYS. В инцидент-отчёте в X фонд Cysic Foundation сообщил, что кроссчейн-мост приостановлен. Атакующий воспользовался изъяном в логике обработки сообщений и выпустил 10 млн CYS на BNB Smart Chain. Предварительная версия — несанкционированный доступ к базе данных, на которую опираются сервисы моста.

По сути мост создал токены на BSC без заблокированного обеспечения на другой стороне, то есть 10 млн CYS появились из воздуха. Это около 6,2% от 160,8 млн монет в обращении и 1% от максимального предложения в 1 млрд, считает The Crypto Times по данным CoinMarketCap.

Как атакующий успел вывести деньги

Хронологию The Crypto Times собрала по BscScan и Etherscan. Адрес-получатель начал двигать CYS через пять минут после минта и к 12:59 UTC вывел 7,2 млн токенов в 15 транзакциях. Продажа прошла в два захода:

• с 12:36 до 12:41 UTC — 5,65 млн CYS за 588 315 USDT, примерно по $0,10 за токен;
• с 12:57 до 12:59 UTC — ещё 1,55 млн CYS примерно за 220 BNB.

Двенадцать из пятнадцати транзакций шли через DEX-агрегатор OKX, ордера исполнялись в том числе на PancakeSwap. Дальше деньги ушли через три кроссчейн-сервиса: 100 000 USDT через Bridgers (SWFT), остальные 488 315 USDT — через Mayan, затем 80 BNB через Mayan и 139 BNB через deBridge. На стороне Ethereum адрес получил в сумме около 306,6 ETH и к 13:11 UTC переслал 306,52 ETH на второй кошелёк.

Чёрный список сработал, когда большая часть фальшивых токенов уже была продана: блокировка CYS не касается эфира, который атакующий успел вывести.

Cysic заблокировала адрес в 13:47:52 UTC — через 76 минут после минта и примерно через 48 минут после того, как адрес перестал отправлять токены. Около 72% несанкционированного предложения к этому моменту уже ушло. При этом блокировка распространяется только на CYS в BNB Smart Chain, на ETH она не действует.

Взлом моста Cysic: что это значит для тебя

По версии фонда, инцидент ограничен обработкой сообщений моста и минтом: основная сеть и другие системы не задеты, существующие CYS и другие активы пользователей не украдены. Cointelegraph отдельно подчёркивает, что число напечатанных токенов само по себе не равно итоговому убытку — переводы, свопы и реальные потери ещё проверяют.

Для держателя CYS главный риск другой — разводнение и давление на цену. Продажа 7,2 млн необеспеченных токенов прошла в пулы, где торговали обычные трейдеры. По данным The Crypto Times, CYS на момент их публикации стоил около $0,1144 при капитализации около $18,4 млн, а 17 октября, в день атаки, обновил исторический минимум на $0,1076. От августовского пика в $1,76 токен ниже примерно на 93,5%.

Это не первый мост за год: по подсчёту издания, к середине мая восемь крупных атак на мосты унесли $328,6 млн, включая эксплойт KelpDAO примерно на $292 млн. Похожая картина с BNB Chain была и у взлома 79thVault, а разбор того, как проект закрывает дыру и возвращает деньги, мы делали на примере постмортема NEAR Intents.

Что делать

1. Не пользуйся мостом Cysic, пока фонд официально не объявит о перезапуске. По словам проекта, мост останется закрытым до окончания аудита рабочего процесса, срок не назван.
2. Если держишь CYS на BSC, проверь контракт токена в эксплорере: работай только с официальным адресом, а не с «новыми» CYS из сомнительных пулов. Как это сделать, мы расписали в гайде как проверить адрес контракта токена.
3. Не торопись ловить «дно» на эмоциях — у токена нет пока финальной оценки ущерба, а продолжение отчёта может сдвинуть рынок.
4. Не отвечай на личные сообщения про «компенсацию» или «миграцию токенов». После таких инцидентов это первое, что делают мошенники.

FAQ

Сколько украли при взломе моста Cysic? Фонд итоговую сумму не называл. The Crypto Times по ончейн-данным насчитала около 306,6 ETH (примерно $727 тыс.), выведенных в Ethereum после продажи 7,2 млн CYS.

Взлом моста Cysic задел кошельки пользователей? По заявлению Cysic, нет: существующие CYS и другие активы в кошельках не украдены и не переведены без разрешения.

Почему блокировка не помогла? Адрес занесли в чёрный список через 76 минут после минта, когда около 72% фальшивых токенов уже ушло. Остались около 2,8 млн CYS.

Когда откроют мост? Срок не назван. Cysic обещала дополнительный отчёт о подтверждённых потерях и отслеживании средств после текущей фазы расследования.

Итог: взлом моста Cysic — ещё один пример того, что слабое звено часто не в блокчейне, а в инфраструктуре вокруг него. Деньги пользователей в кошельках, по словам фонда, целы, но фальшивые токены уже продали в рынок, а эфир атакующего блокировка не достала.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.