727 000 dollars envolés vers Ethereum : Le bridge de Cysic piraté
Dix millions de jetons créés sans autorisation. Le 17 octobre, un attaquant a exploité le bridge de Cysic pour émettre 10 millions de CYS sur BNB Smart Chain. Il en a vendu 7,2 millions avant que la fondation ne bloque les transferts de l’adresse concernée. Selon les données on-chain, environ 306,6 ETH, valorisés à 727 000 dollars dimanche, ont ensuite rejoint Ethereum. Cysic a suspendu son pont inter-chaînes et ouvert une enquête.
Points clés
- Une intrusion dans une base de données et une faille de traitement auraient permis l’émission frauduleuse de 10 millions de CYS.
- L’attaquant a vendu 7,2 millions de jetons ; les 2,8 millions restants sont immobilisés.
- Cysic affirme que son mainnet et les actifs déjà détenus dans les portefeuilles utilisateurs n’ont pas été compromis.
Cysic bloque 2,8 millions de jetons après une émission frauduleuse
Selon le rapport préliminaire de la fondation, l’attaquant a obtenu un accès non autorisé à une base de données utilisée par les services du bridge. Il aurait ensuite exploité une vulnérabilité dans la logique de traitement pour soumettre un faux message d’émission.
La transaction a créé 10 millions de CYS à 12 h 31 UTC sur BNB Smart Chain. Le chemin d’attaque complet et la cause précise restent toutefois en cours d’investigation. La fondation situe l’incident dans les fonctions de traitement des messages et de création des jetons du pont.
Cinq minutes plus tard, l’adresse réceptrice a commencé à vendre les CYS. D’après The Block, une première série de onze transactions a échangé 5,65 millions de jetons contre 588 315 USDT. Quatre opérations supplémentaires ont ensuite converti 1,55 million de CYS en environ 220 BNB.
Les ventes se sont achevées à 12 h 59 UTC. Douze des quinze transactions ont emprunté l’agrégateur décentralisé d’OKX, qui a réparti les échanges entre plusieurs plateformes, dont PancakeSwap.
La fondation a inscrit l’adresse sur la liste noire du contrat CYS à 13 h 47 UTC, soit environ 76 minutes après l’émission frauduleuse. Cette restriction immobilise les 2,8 millions de jetons encore présents, mais ne récupère pas les actifs obtenus lors des ventes précédentes.
Environ 727 000 dollars transférés vers Ethereum, le bridge reste fermé
L’attaquant a commencé à déplacer les recettes avant même d’avoir terminé ses ventes. Il a utilisé SWFT, Mayan et deBridge pour convertir et transférer les USDT et les BNB vers Ethereum.
Toujours selon The block, l’adresse a reçu environ 306,6 ETH sur ce réseau. Elle a ensuite envoyé 306,52 ETH vers un second portefeuille, en cinq transferts. Au cours de l’ETH de dimanche, cela représentait 727 000 dollars.
Cysic souligne d’ailleurs que le nombre de jetons émis ne permet pas, à lui seul, de calculer les pertes finales. La fondation affirme qu’aucun actif existant n’a été dérobé dans les portefeuilles utilisateurs.
Le projet, spécialisé dans les infrastructures de preuves à divulgation nulle de connaissance, assure également que son réseau principal continue de fonctionner normalement. Le consensus, la production des blocs et l’exécution des transactions ne seraient pas concernés.
Une société de sécurité, dont le nom n’a pas été communiqué, participe à l’enquête et au traçage. Le bridge demeure fermé jusqu’à l’achèvement de la revue de sécurité. À ce stade, le gel porte uniquement sur les CYS de l’adresse bloquée sur BNB Smart Chain : il n’affecte pas les ethers transférés sur Ethereum.
Le Journal Du Coin
Un article de la rédaction. Le Journal du Coin, premier média d’actualités francophone sur la cryptomonnaie, Bitcoin, et les protocoles blockchain.