Cysic暂停跨链桥:BNB智能链上未经授权增发1000万枚CYS

增发76分钟后,黑名单冻结280万枚CYS

10月17日,攻击者在BNB智能链上未经授权增发1000万枚CYS代币,Cysic随即暂停了其跨链桥服务。10月18日,Cysic基金会在X平台发布的声明中表示,初步调查显示跨链桥背后的数据库遭到未授权访问,攻击者利用这一点提交了伪造的铸币消息。项目方公布的事件时间线显示,未授权增发发生在12:31:38 UTC。按基金会的描述,问题出在跨链桥的消息处理层:此类桥接会在一条链上验证转账指令,再授权另一条链上的对应操作,攻击者涉嫌操纵这一流程,使新增CYS的创建获得了授权。Cysic将自己的平台定位为去中心化算力网络,负责协调算力资源并向参与者发放奖励,CYS则承担治理、算力资源获取以及向硬件提供商付款的职能。此次攻击发生在BNB智能链上,该链近期增长势头明显,90天内新增了172万名代币化股票持有者。以跨链桥事故的标准衡量,这次处置速度相当快。10月17日13:47:52 UTC,即在记录中的增发时间过去1小时16分14秒后,团队将接收地址加入代币合约黑名单,冻结了仍留在该地址的约280万枚CYS,阻止其转移。基金会表示,主网运营和其他系统未受影响,现有用户钱包中的资产没有任何流出,包括用户通过将MetaMask连接至BNB智能链访问的网络上的持仓。暂停服务是为了在调查人员追踪代币流向期间,阻断经由该服务的进一步操作,目前重启时间尚未确定。数据库如何被入侵、利用了哪个漏洞、哪些交易触发了增发,这些关键问题均未披露,公告也未附带独立的取证报告。

增发量相当于10亿总供应量的1%

以官方公布的1000万枚增发量为基准,被冻结钱包中的代币占未授权发行量的28%。其余720万枚代币并不在黑名单地址上,这一缺席本身无法说明其中多少已被卖出、转移他处、追回或兑换成其他加密货币。Cysic尚未报告冻结钱包之外的任何代币完成追回,调查人员正在追踪转账记录并核查可能的兑换路径,以确定实际财务损失。项目方也没有给出任何美元金额:其事件报告明确区分了创建的代币数量与攻击者通过已完成交易可能获得的实际价值,按市场价格计算只能估算新增供应的名义价值,无法代表攻击者能真正在CYS交易市场的集中流动性中卖出的规模。目前攻击者获利总额、完整接收地址清单、流出资产的独立估值均未公布。从代币自身的设计来看,规模更容易衡量。Cysic公布的代币经济模型显示总供应量为10亿枚CYS,本次未授权增发相当于总量的1%。分配方案为:生态激励占40.19%,投资者占23.62%,贡献者占12.11%,基金会金库占8%,社区激励与流动性占16.08%。持有者可以质押CYS获得CGT,即该项目不可转让的治理代币,用于参与协议提案、验证者选择和经济参数决策;算力提供商则使用CYS为零知识证明生成和AI工作负载预留容量。2026年以来,通过跨链桥漏洞进行未授权增发的事件反复出现:The Sandbox的SAND事件产生了329万亿枚无支撑代币,确认被盗金额约67.5万美元;PeckShield报告称10月13日的Autoe攻击中增发了1900万枚THEO,兑换成约700.8枚ETH。Cysic的调查目前尚未给出可比数字。

仍有720万枚代币下落不明

这起事件的链上记录异常清晰:12:31:38 UTC的增发和约76分钟后的黑名单交易都可以在BNB智能链上直接验证,因此冻结数字并不只依赖项目方的单方面说法。按基金会的初步复盘,根本原因在于数据库访问控制和跨链桥协议的消息处理逻辑。应对措施改变了损失范围:增发量的28%已被冻结,跨链桥离线,主网据称保持稳定。但另外720万枚代币的问题依然悬而未决:没有经过核实的账目,没有完成追回,也没有量化的获利金额。在BNB Chain上追踪资金流向已是生态内的常规操作,此前CZ就曾呼吁社区追踪一起9290万美元的Ledger经销商失窃案。基金会计划发布的后续报告,目前仍停留在意向阶段,而非调查结论。