Cysic跨链桥遭攻击：攻击者铸造1000万枚CYS代币并转移约72.7万美元资产
2026年10月17日，一名攻击者利用Cysic协议的跨链桥漏洞，在BNB智能链（BNB Smart Chain）上未经授权铸造了1000万枚CYS代币。随后，攻击者将价值约72.7万美元的306.6 ETH通过桥接转移至以太坊网络，而剩余的约280万枚非法铸造的CYS代币则被冻结在已被列入黑名单的地址中。
根据交易所公告，KuCoin于2026年10月18日宣布暂时关闭CYS代币的充值服务，称此举为“必要的维护”。这一举措紧随次日披露的Cysic协议跨链桥遭受攻击事件之后。Cysic基金会也确认了此次漏洞利用事件，并谨慎指出，已铸造的代币数量并不直接等同于最终的美元损失金额。
此次攻击发生于2026年10月17日。攻击者发现了绕过Cysic跨链桥正规存款流程的方法，直接在桥接基础设施中铸造CYS代币。一旦代币生成，攻击者便开始将其兑换为其他资产，并通过OKX的去中心化交易所聚合器进行多笔交易转换，最终将约306.6 ETH（按当时市价约合72.7万美元）桥接至以太坊网络。BscScan和Etherscan上的链上记录证实了此次铸造、随后的代币交易以及向以太坊转移ETH的过程。
Cysic基金会迅速采取行动以遏制损失扩大，将持有约280万枚未授权CYS代币的地址列入黑名单，限制其进一步转移。值得注意的是，基金会在事件报告中特别强调，1000万枚被铸造的代币本身并不代表最终的资金损失总额，因为其中大部分代币并未离开链条，或在被转换为其他资产前已被冻结。目前确认的72.7万美元损失仅反映攻击者成功桥接出的ETH金额，而非该事件的总体损害估算。
KuCoin的公告未提及CYS充值何时恢复，仅将暂停描述为必要维护，并未明确指明攻击事件为原因，但其时间线与Cysic自身的披露完全吻合。通常情况下，在发生跨链桥或铸造类漏洞后，交易所会暂停代币的存取款作为预防措施，以防止攻击者将非法铸造的代币转入交易所并在事件全貌查明前尝试抛售。
跨链桥作为连接不同区块链的基础设施，长期以来一直是去中心化金融领域最常遭到攻击的目标类别之一。这类架构通常要求在另一条链上锁定或销毁等额资产时，在目标链上铸造或释放对应代币。这种机制使得会计逻辑中的单一缺陷可能被利用，从而凭空创造代币。
KuCoin官方通知表示，交易所将继续监控事态发展，并在充值功能重新开放后更新用户信息。
