Cysic a suspendu son pont inter-chaînes après qu'un attaquant aurait exploité une faille de traitement pour créer 10 millions de jetons CYS sans autorisation sur BNB Smart Chain le 17 octobre.
Résumé
- Cysic a suspendu son pont inter-chaînes après qu'un attaquant aurait créé 10 millions de jetons CYS non autorisés.
- L'attaquant aurait exploité les faiblesses de traitement du pont après avoir obtenu un accès non autorisé à un système de base de données de support.
- Cysic a mis sur liste noire une adresse détenant environ 2,8 millions de CYS, restreignant les transferts ultérieurs depuis ce portefeuille.
- Le projet a déclaré que son réseau principal restait intact et que les actifs existants des portefeuilles des clients n'avaient pas été volés.
- Les enquêteurs examinent les mouvements de jetons et les pertes potentielles avant que Cysic ne publie son prochain rapport de sécurité.
Dans une déclaration du 18 octobre, la Fondation Cysic a indiqué que son enquête préliminaire avait identifié un accès non autorisé à une base de données soutenant le pont, suivi de la soumission de messages de création frauduleux.
L'entreprise a confirmé avoir arrêté les opérations du pont et restreint les transferts depuis une adresse détenant environ 2,8 millions de CYS. Elle a déclaré que son réseau principal et d'autres systèmes opérationnels restaient intacts, tandis que les enquêteurs continuaient d'examiner le mouvement des jetons nouvellement créés.
Cysic n'a pas établi de perte financière définitive. Son rapport d'incident distingue le nombre de jetons créés de la valeur qu'un attaquant aurait pu obtenir grâce à des transactions réalisées.
L'exploit du pont Cysic crée 10 millions de jetons non autorisés
L'attaque a eu lieu le 17 octobre, la création non autorisée ayant été enregistrée à 12:31:38 UTC, selon la chronologie de l'incident du projet.
Les conclusions préliminaires indiquent que l'attaquant a accédé à une base de données utilisée par le pont inter-chaînes de Cysic et a exploité des faiblesses dans sa logique de traitement des messages.
Le pont traite les instructions associées aux transferts entre les réseaux pris en charge. Dans cet incident, l'attaquant aurait manipulé ce processus pour autoriser la création de jetons CYS sur BNB Smart Chain.
La Fondation a décrit les composants affectés comme le traitement des messages du pont et la création de jetons. Elle n'a pas identifié de compromission du réseau principal sous-jacent de Cysic.
À la suite de l'émission non autorisée, l'équipe a suspendu le pont pour empêcher toute activité supplémentaire via le service affecté pendant que l'enquête se poursuivait.
Les conclusions techniques restent préliminaires. Cysic n'a pas publié de compte rendu complet de la méthode d'accès à la base de données, de la faiblesse précise du code ou de la séquence de transactions utilisée pour déclencher la création.
Aucun rapport d'expertise indépendant n'était disponible dans les documents accompagnant l'annonce initiale.
Cysic met sur liste noire un portefeuille détenant 2,8 millions de CYS
Après avoir détecté l'attaque, l'équipe a identifié une adresse de destinataire associée aux jetons non autorisés.
À 13:47:52 UTC le 17 octobre, Cysic a ajouté l'adresse à la liste noire du contrat de jetons, l'empêchant de transférer les jetons restant à cet emplacement.
La restriction est intervenue une heure, 16 minutes et 14 secondes après la création signalée.
Environ 2,8 millions de CYS restaient à l'adresse mise sur liste noire. En utilisant l'émission annoncée de 10 millions de jetons comme montant de référence, le solde restreint représentait 28 % de la création non autorisée.
Les 7,2 millions d'autres jetons n'étaient pas inclus dans ce solde restant signalé. Leur absence de l'adresse restreinte n'établit pas combien ont été vendus, transférés ailleurs, récupérés ou convertis en d'autres cryptomonnaies.
Cysic a déclaré que les enquêteurs traçaient les transferts de jetons et examinaient les éventuels échanges pour déterminer les conséquences financières réelles.
La société n'a pas publié de total vérifié des produits reçus par l'attaquant, ni de liste complète des adresses des destinataires, ni d'évaluation indépendante des actifs qui ont pu quitter le système affecté.
Bien que le mint non autorisé ait porté sur 10 millions de CYS, le chiffre d'émission ne peut pas être considéré comme une perte en dollars confirmée.
Un calcul basé sur le prix de marché d'un token estimerait la valeur notionnelle de l'offre nouvellement créée. Il n'établirait pas le montant qu'un attaquant pourrait réellement vendre ou retirer de la liquidité de trading disponible.
Cysic n'a pas signalé de récupération complète des tokens situés en dehors de l'adresse mise sur liste noire.
Cysic affirme que le mainnet et les actifs existants des portefeuilles restent sûrs
Dans son évaluation initiale, la Fondation a limité la faille à son infrastructure de pont inter-chaînes.
La société a déclaré que l'incident n'avait pas affecté les opérations du mainnet de Cysic ni d'autres parties de son réseau. Elle n'a signalé aucun retrait non autorisé de soldes CYS existants ni d'autres actifs des portefeuilles des clients.
Ces déclarations décrivent les conclusions préliminaires du projet. Elles ne constituent pas un audit de sécurité indépendant achevé.
Un pont inter-chaînes permet à des tokens ou à des instructions de transfert de circuler entre des environnements blockchain distincts. Les opérateurs de ponts s'appuient généralement sur des systèmes de traitement qui vérifient l'activité sur un réseau avant d'autoriser l'activité correspondante sur un autre.
L'attaque signalée par Cysic impliquait l'autorisation de nouveaux tokens via des messages manipulés. La divulgation disponible ne décrit pas des attaquants retirant directement les actifs sous-jacents des portefeuilles des utilisateurs.
La Fondation a engagé une société de sécurité externe pour examiner l'incident et retracer l'activité liée à l'émission non autorisée.
Son enquête couvre le chemin de l'attaque, l'infrastructure affectée et le mouvement des tokens créés. Le projet prévoit de publier un rapport de suivi après l'examen en cours.
Aucune date de réouverture du pont suspendu n'a été annoncée.
CYS alimente le calcul et la gouvernance au sein du réseau
Cysic décrit sa plateforme comme un réseau de calcul décentralisé qui utilise la technologie blockchain pour coordonner les ressources de calcul et récompenser les participants.
Selon sa tokenomics officielle, CYS soutient la gouvernance du réseau, l'accès aux ressources de calcul et les paiements aux participants qui fournissent du matériel ou effectuent des tâches de calcul.
L'offre de tokens publiée du projet est de 1 milliard de CYS, avec des allocations distinctes pour les incitations de l'écosystème, les investisseurs, les contributeurs, la trésorerie de sa fondation et les programmes de liquidité communautaire.
Le mint non autorisé de 10 millions de tokens équivaut à 1 % de cette offre totale déclarée, selon les chiffres de tokenomics du projet.
La comparaison mesure l'ampleur de l'émission non autorisée par rapport à l'offre publiée. Elle n'établit pas si tous les tokens créés sont entrés en circulation ou ont modifié l'offre effective disponible pour le trading.
Les détenteurs de CYS peuvent staker des tokens pour recevoir le Cysic Governance Token, ou CGT, que le projet décrit comme un crédit de gouvernance non transférable.
Selon sa conception publiée, le CGT soutient la participation aux propositions de protocole, à la sélection des validateurs et aux décisions impliquant les paramètres économiques du réseau.
Les fournisseurs de calcul utilisent CYS pour réserver de la capacité pour des tâches incluant la génération de preuves à divulgation nulle de connaissance et les charges de travail d'intelligence artificielle. Le token est utilisé pour les incitations liées à ces activités.
Le calendrier d'allocation de la Fondation attribue 40,19 % de l'offre de tokens aux incitations de l'écosystème, 23,62 % aux investisseurs et 12,11 % aux contributeurs.
8 % supplémentaires sont alloués à la trésorerie de la fondation, tandis que les incitations communautaires et la liquidité représentent 16,08 %.
D'autres incidents de pont montrent pourquoi l'offre créée et les pertes diffèrent
La création non autorisée de tokens est apparue dans plusieurs autres incidents de sécurité inter-chaînes au cours de 2026, bien que les causes techniques et les conséquences financières aient varié.
En août, crypto.news a rapporté une exploitation de pont impliquant le token SAND de The Sandbox sur Base et BNB Smart Chain.
The Sandbox a suspendu les opérations de pont concernées après que des attaquants ont créé des jetons non autorisés grâce à des autorisations compromises. Sa réponse initiale a distingué l'offre nouvellement frappée des actifs directement affectés.
Une analyse ultérieure de l'attaque a révélé qu'environ 329 billions de jetons SAND non adossés avaient été créés, tandis que le drainage de réserve confirmé était bien plus faible, à environ 675 000 $.
Lors d'un incident distinct en mai, Stake DAO a fermé son pont affecté après qu'un attaquant a frappé des vsdCRV non autorisés sur Arbitrum.
Le projet a déclaré que son adossement sur le réseau principal Ethereum restait sécurisé et que les produits clés continuaient de fonctionner.
Plus récemment, un rapport du 13 octobre couvrait un exploit de pont suspecté affectant le jeton THEO d'Autheo. La société de sécurité PeckShield a rapporté qu'un attaquant avait créé 19 millions de THEO et échangé des jetons contre environ 700,8 ETH.
L'enquête de Cysic n'a pas encore établi de chiffre comparable pour les actifs échangés ou retirés. La Fondation prévoit de publier un rapport supplémentaire après que l'examen de sécurité aura produit des conclusions plus complètes.
