Cysic基金会遭遇跨链桥漏洞攻击，暂停服务并拉黑地址

Cysic基金会表示，一名攻击者利用其跨链桥消息处理逻辑中的漏洞，于10月17日在BNB智能链上未经授权铸造了10,000,000枚CYS代币。作为回应，基金会已暂停该跨链桥的服务。

CoinMarketCap审查的链上数据与Cysic的说法相符：接收地址收到了1000万枚铸造代币，并通过去中心化交易所（DEX）兑换转移了约720万枚。在Cysic大约76分钟后在链上将该地址列入黑名单时，该地址仍持有约280万枚CYS。

据CoinMarketCap数据显示，CYS交易价格为0.1144美元，24小时内下跌1.92%。而Cysic方面表示，这1000万枚代币的数量本身并不代表此次事件的最终美元损失金额。

事件详情与初步调查结果

Cysic基金会指出，攻击者利用其跨链桥消息处理逻辑中的漏洞，在BNB智能链上未经授权使用10,000,000枚Cysic (CYS) 代币进行铸造，促使基金会暂停了跨链桥并将接收地址列入黑名单。

根据Cysic在X平台发布的事故报告，此次铸造发生在UTC时间10月17日下午12:31。初步调查显示，攻击者获得了对支持跨链桥的数据库的未授权访问权限，并利用处理逻辑中的错误提交了欺诈性的铸造消息。Cysic补充说，完整的攻击路径和根本原因仍在调查中。

Cysic表示，此次事件仅限于跨链桥的铸造和消息处理功能，并未波及Cysic主网，且用户钱包中已有的CYS和其他资产未被盗取或移动。基金会已于UTC时间下午1:47将接收地址添加到CYS代币合约的链上黑名单中，以限制进一步转账，并已聘请安全公司追踪资金并进行调查。

链上数据佐证Cysic说法

CoinMarketCap审查的BscScan记录显示，接收地址从空地址收到了一笔单笔10,000,000枚CYS的转账，这是铸造操作的链上签名，与Cysic所述的时间戳一致。此后，通过23笔单独的外向交易（主要通过去中心化交易所池路由），共计转移了720万枚CYS离开该地址，剩余约280万枚CYS仍留在其中，这与Cysic所说的“约280万枚”CYS被限制的情况相符。

CYS是一种BEP-20代币，据CoinMarketCap数据显示，其交易价格为0.1144美元，过去24小时内下跌1.92%，市值约为1840万美元。Cysic尚未公布此次事件美元影响的估算，并表示经核实的损失和资金追踪进展将在后续报告中公布。

跨链桥关闭及安全审查

跨链桥目前仍处于关闭状态，只有当Cysic完成安全审查后才会重新开放。基金会表示，该审查包括检查跨链桥的消息处理和权限配置。今年其他地方也出现了类似的漏洞：XRP Ledger支付引擎中的一个错误在9月得到修补，同样可能让攻击者凭空创建可花费的代币，但根据漏洞披露报告，该缺陷在被任何人利用之前就被发现了。