La lista negra de Cysic llegó 76 minutos tras el mint, cuando se vendieron 7,2 millones de CYS

El 17 de octubre, un mensaje de acuñación falso obligó a salir 10 millones de tokens CYS no autorizados del puente entre cadenas de Cysic.

La billetera del atacante liquidó 7,2 millones de ellos y movió unos 727.000 dólares a Ethereum antes de que el proyecto la bloqueara.

Dos rondas de ventas obtuvieron 588,315 USDT y 220 BNB

Los datos on-chain revelan que una acuñación fraudulenta afectó a BNB Smart Chain a las 12:31 UTC del 17 de octubre. Pero el informe de incidente de la fundación indica que Cysic no incluyó la billetera receptora en la lista negra del contrato CYS hasta las 13:47 UTC.

La brecha duró 76 minutos. La dirección había dejado de enviar tokens 48 minutos antes del congelamiento y ya había trasladado sus fondos desde la cadena BNB para cuando se ejecutó el bloqueo.

Blacklist se quedó con los restos: aproximadamente 2,8 millones de CYS que ya no pueden transferirse. Circulan unos 160,8 millones de CYS.

Según los registros de BscScan, las ventas masivas se realizaron en dos rondas. Los primeros 5,65 millones de CYS se vendieron por 588.315 USDT en cinco minutos, entre las 12:36 UTC, a un precio de aproximadamente 10 centavos cada uno.

Una segunda ronda, más pequeña, se llevó a cabo entre las 12:57 y las 12:59 UTC. Recaudó alrededor de 220 BNB por los últimos 1,55 millones de tokens.

Doce de las 15 ventas se completaron utilizando el agregador DEX de OKX. Las órdenes se distribuyeron entre varios mercados, incluido PancakeSwap.

Mayan, deBridge y SWFT transportaron 306.6 ETH a Ethereum

El servicio Bridgers de SWFT retiró los primeros 100.000 USDT a las 12:44 UTC. Aproximadamente un minuto después, 40,88 ETH llegaron a Ethereum.

Otro monto de 488.315 USDT fue trasladado al protocolo cross-chain Mayan mediante seis transferencias, completadas antes de las 12:53 UTC.

Tras la segunda ola de ventas, también se movieron BNB. Mayan transportó 80 de esos BNB a las 13:05 UTC, y deBridge gestionó otros 139 a las 13:06.

Según los datos de Etherscan, Mayan desembolsó alrededor de 224,66 ETH y deBridge 41,05 ETH, con la última transacción registrada a las 13:06 UTC. El total fue de aproximadamente 306,6 ETH, equivalentes a unos 727.000 dólares al precio del ETH el 18 de octubre, que era de aproximadamente 2.372 dólares.

Para las 13:11 UTC, una segunda billetera había recibido 306,52 ETH a través de cinco transferencias. Su primer depósito se realizó aproximadamente dos horas antes del minting.

La lista negra del contrato CYS no alcanza a ETH.

«El atacante obtuvo acceso no autorizado a una base de datos utilizada por servicios que respaldan el puente y explotó una vulnerabilidad en la lógica de procesamiento relevante para enviar un mensaje de minting fraudulento», dijo la Fundación Cysic en un informe de incidente publicado en X el 18 de octubre.

La fundación indicó que el incidente se limitó al manejo de mensajes del puente y al minting, sin afectar el consenso, la producción de bloques ni la ejecución de EVM en la mainnet de Cysic. «No se robaron los activos existentes de los usuarios», afirmó.

Cysic data de 2022 y genera pruebas de conocimiento cero (zero-knowledge proofs) en hardware dedicado y su propia cadena Layer 1. Polychain Capital lideró su ronda semilla de 6 millones de dólares en 2023.

La fundación señaló que la cifra final en dólares no está determinada únicamente por los 10 millones de tokens minteados.

Las transferencias entre cadenas a través del puente permanecen sin procesar hasta que Cysic finalice una revisión de seguridad. Se espera un segundo informe sobre las pérdidas verificadas y el rastreo de los fondos.

Cryptopolitan informó que Symbiosis suspendió su puente de Bitcoin en septiembre cuando un atacante acuñó un saldo sintético enorme, pero se llevó unos 336.000 dólares.

En junio, un error de validación permitió a un atacante acuñar alrededor de 5 mil millones de SYS no autorizados. Syscoin congeló su puente.

Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.