ZK证明网络Cysic暂停跨链桥，因攻击者利用逻辑漏洞铸造1000万枚代币

ZK证明网络Cysic已暂停其跨链桥服务。此前，一名攻击者利用了桥接服务的消息处理逻辑漏洞，在BNB智能链上成功铸造了1000万枚CYS代币。

Cysic基金会于周日发布的官方事件报告指出，此次未经授权的铸造行为发生于协调世界时（UTC）10月17日12:31:38。基金会在大约76分钟后冻结了接收地址。

初步调查结果显示，攻击者通过访问支持桥接服务的数据库，并结合处理逻辑中的漏洞，提交了欺诈性的铸造消息。Cysic表示，完整的攻击路径和根本原因仍在调查中，且已聘请安全公司追踪资金流向。

冻结前约720万枚代币已被转移

接收地址于UTC 10月17日13:47:52被列入CYS代币合约黑名单。截至此时，最初铸造的1000万枚代币中仅剩约280万枚仍停留在该地址。这意味着在限制措施生效前，约有720万枚CYS代币（占未经授权铸造总量的72%）已被转移至其他地址。

这一时间差构成了持有者面临的核心风险。1000万枚代币相当于CYS最大供应量10亿枚的1%，而在实际流通的代币中占比更大。此次事件引入了原本不在计划内的新增供应。Cysic警告称，铸造代币的数量并不直接等同于最终的美元损失，目前的转账、兑换及实际亏损情况仍在审查之中。

事件影响范围有限

Cysic强调，此次事件仅限于桥接服务的消息处理和铸造功能。现有用户资产未被盗取，主网（包括共识机制、区块生产和EVM执行）也未受影响。目前桥接服务无限期关闭，将在完成工作流的全面安全审查后重新开放。

后续进展

基金会计划在当前调查阶段结束后发布后续报告，涵盖已验证的影响、实际损失、资金追踪进度以及补救结果。在桥接服务重新开放之前，用户无法通过该服务在不同链之间移动CYS代币，且目前尚未公布恢复时间表。

此次事件再次提醒业界，跨链桥接仍然是集中的攻击面。继9月份Fetch.ai的SingularityNET桥接被攻破之后，此类安全风险模式值得高度关注。