Cysic跨链桥因安全漏洞暂停运营：攻击者非法铸造千万枚CYS代币
据报道，Cysic于10月17日暂停了其跨链桥服务。此前，一名攻击者利用处理逻辑中的缺陷，在BNB智能链（BNB Smart Chain）上未经授权铸造了1000万枚CYS代币。
事件概要
Cysic在确认发生安全事件后，立即暂停了跨链桥的运作。初步调查显示，攻击者在未经授权访问支持跨链桥运行的数据库系统后，利用了桥梁处理机制中的弱点，提交了伪造的铸造指令。
为遏制损失扩大，Cysic已将持有约280万枚CYS代币的地址列入黑名单，限制了该钱包的进一步转账操作。项目方强调，此次事件未影响其主网运行，现有客户钱包内的资产未被窃取。目前，调查人员正在追踪代币流向并评估潜在损失，Cysic将在完成内部审查后发布后续安全报告。
官方声明与初步调查结果
Cysic基金会于10月18日发表声明称，初步调查确认攻击者获取了对桥接支持数据库的未经授权的访问权限，并利用该权限提交了欺诈性的铸造消息。公司证实已停止桥接业务，并限制了对持有约280万枚CYS代币地址的资金转出。同时，主网及其他运营系统保持正常，调查仍在继续以追踪新铸造代币的去向。
来源：Cysic Foundation (@cysic_fdn) 10月18日声明
截至目前，Cysic尚未确定最终的财务损失金额。其事件报告区分了“被铸造的代币数量”与“攻击者通过已完成交易可能获得的实际价值”。这意味着，虽然铸造量巨大，但实际造成的资金流失需根据交易完成情况来判定。
攻击技术细节
根据项目方公布的时间线，攻击发生于10月17日UTC时间12:31:38。初步发现表明，攻击者利用了Cysic跨链桥所使用的数据库，并 exploits 了其消息处理逻辑中的弱点。
跨链桥通常用于处理支持网络之间的转账指令。在此次事件中，攻击者涉嫌操纵了这一流程，从而在BNB智能链上授权创建了CYS代币。基金会指出，受影响的组件主要为“桥接消息处理”和“铸造功能”，并未发现底层Cysic主网遭到入侵的迹象。
在检测到异常后，团队暂停了桥接服务以防止进一步的活动。目前的技术发现仍属初步阶段，Cysic尚未公开关于数据库访问方式、具体代码漏洞或触发铸造的交易序列的完整细节。初始公告材料中也未提供独立的法医分析报告。
黑名单位址与代币追踪
攻击发生后，团队识别出了接收非法代币的地址。UTC时间10月17日13:47:52，即报告铸造事件发生1小时16分14秒后，Cysic将该地址加入代币合约的黑名单，阻止了剩余代币的转移。
黑名单地址中保留了约280万枚CYS代币。若以公布的1000万枚铸造量为参考，受限余额占非法铸造总量的28%。其余720万枚代币未出现在该受限地址中，其去向尚不明确，可能是已被出售、转移至其他地址、追回或转换为其他加密货币。
Cysic表示，调查人员正在追踪代币转移路径并审查潜在的兑换行为，以确定实际的财务后果。公司尚未公布攻击者收到的收益总额、完整的接收地址列表，或对流出受影响系统的资产进行的独立估值。
尽管涉及1000万枚CYS的非法铸造，但这并不意味着等同于确认的美元损失。基于市场价格计算的数值仅代表新增供应的名义价值，并不能确立攻击者能够从可用交易流动性中实际出售或提取的金额。此外，Cysic尚未报告在黑名单地址之外成功追回任何代币。
主网与客户资产安全
在初步评估中，基金会将漏洞范围限定在其跨链桥基础设施内。公司声明，此次事件不影响Cysic主网运营或网络的其它部分，也没有发现客户钱包中的现有CYS余额或其他资产被未经授权移除的情况。
需要指出的是，这些陈述仅描述项目的初步发现，并不构成已完成的外部独立安全审计。跨链桥允许代币或转账指令在不同区块链环境间移动，运营商通常依赖处理系统在一方网络验证活动后，才授权另一方网络进行相应操作。本次攻击涉及通过操纵消息授权新代币的创建，现有披露未显示攻击者直接从用户钱包中提取基础资产。
基金会已聘请外部安全公司对该事件进行调查，并追踪与非法发行相关的活动。调查范围涵盖攻击路径、受影响的基础设施以及铸造代币的流动情况。项目计划在当前审查结束后发布后续报告。目前，尚未公布恢复桥接服务的日期。
CYS代币经济与治理
Cysic将其平台描述为一个去中心化计算网络，利用区块链技术协调计算资源并奖励参与者。根据其官方代币经济学模型，CYS支持网络治理、计算资源访问以及对提供硬件或执行计算任务的参与者的支付。
项目公布的代币总供应量为10亿枚CYS，分别分配给生态系统激励、投资者、贡献者、基金会国库和社区流动性计划。按此数据计算，此次非法铸造的1000万枚CYS占总供应量的1%。这一比较旨在衡量非法发行的规模相对于公布供应量的比例，并不代表所有铸造代币都已进入流通或改变了可用于交易的实际供应量。
CYS持有者可以质押代币以获得Cysic治理代币（CGT），这是一种不可转让的治理信用凭证。根据公布的设计，CGT支持参与协议提案、验证者选择以及涉及网络经济参数的决策。计算提供商使用CYS预留容量以执行包括零知识证明生成和人工智能工作负载在内的任务，该代币也用于与此类活动挂钩的激励。
基金会的分配计划规定：40.19%的代币供应量用于生态系统激励，23.62%用于投资者，12.11%用于贡献者。另有8%分配给基金会国库，社区激励和流动性占16.08%。
历史案例对比：铸造量与实际损失的区别
2026年期间，其他几起跨链安全事件中也出现了未经授权创建代币的情况，尽管技术原因和财务后果各不相同。
- The Sandbox (SAND) 事件：今年8月，媒体报道称The Sandbox在Base和BNB智能链上的跨链桥遭受利用。攻击者通过受损的权限创建了未经授权的代币。初步响应区分了新铸造的供应量和直接受影响的资产。后续分析发现，创建了约329万亿个无支持的SAND代币，而确认的准备金流失要小得多，约为67.5万美元。
- Stake DAO (vsdCRV) 事件：5月的一起单独事件中，Stake DAO在攻击者在Arbitrum上铸造未经授权的vsdCRV后关闭了受影响的桥接服务。项目方表示其以太坊主网支撑依然安全，关键产品继续运营。
- Autheo (THEO) 事件：最近，10月13日的报道覆盖了一起疑似影响Autheo的THEO代币的桥接漏洞。安全公司PeckShield报告称，攻击者创建了1900万枚THEO，并将代币兑换为约700.8 ETH。
相比之下，Cysic的调查尚未建立类似的资产兑换或提取金额。基金会计划在安全审查产生更完整的发现后发布进一步报告。
