Cysic ha sospeso il suo bridge cross-chain dopo che un hacker ha creato 10 milioni di token CYS non autorizzati sulla BNB Chain e ha convertito parte della fornitura in asset trasferiti su Ethereum.
In breve: un'analisi on-chain ha tracciato la vendita di circa 7,2 milioni di CYS e la ricezione di 306,6 ETH, per un valore di circa 727.000 dollari all'epoca. Il bridge è stato bloccato in attesa delle indagini sull'incidente.
Il meccanismo dell'attacco illustra perché i bridge rimangono un problema di sicurezza spinoso. Un token coniato su una rete dovrebbe corrispondere a un evento autorizzato altrove. Quando tale verifica fallisce, un aggressore può creare asset senza alcuna garanzia legittima e venderli sul mercato prima che un progetto possa reagire.
I registri blockchain esaminati in seguito all'incidente hanno mostrato che l'attaccante scambiava i token appena emessi attraverso piattaforme decentralizzate e trasferiva i proventi tra le diverse blockchain. Cysic è intervenuta per sospendere il bridge e bloccare un indirizzo, ma l'intervento è arrivato dopo che una parte sostanziale dell'emissione non autorizzata era già stata scambiata.
Il danno immediato non si limita all'importo effettivamente ricevuto in ETH. L'immissione di nuovi token sul mercato può anche esercitare pressione sul prezzo di CYS, esporre i fornitori di liquidità a perdite e lasciare i detentori onesti nell'incertezza riguardo alla validità dei propri saldi. Il recupero diventa più difficile man mano che swap e bridge dividono i proventi su più destinazioni.
Cysic dovrà fornire spiegazioni sul malfunzionamento del suo processo di verifica dei messaggi e illustrare le eventuali azioni correttive intraprese prima che le normali operazioni possano riprendere in sicurezza. Gli utenti dovrebbero distinguere tra la sicurezza del bridge e il funzionamento della rete nel suo complesso, anziché presumere che ogni componente abbia subito la stessa compromissione.
L'incidente è un altro esempio di come una scorciatoia tecnica nella contabilità cross-chain possa trasformarsi in un evento di portata globale in pochi minuti.
Articolo scritto dalla redazione e curato da Samuel Rae.