Jogosulatlan CYS-tokeneket hoztak létre a BNB Chainen
Egy támadó 10 millió CYS tokent hozott létre jogosulatlanul a BNB Chain hálózatán október 17-én. A tokenek mögött nem állt szabályos, láncok közötti átutalás: a másik hálózaton nem zároltak vagy égettek el ennek megfelelő mennyiséget.
A Cysic október 18-án felfüggesztette a láncok közötti híd működését. A projekt előzetes vizsgálata szerint az elkövető hozzáférést szerzett a hídfunkciót támogató adatbázishoz, majd a tranzakcióüzenetek feldolgozásának hibáját kihasználva hamis tokenkibocsátási üzenetet juttatott át a rendszeren. A támadás teljes menete és kiváltó oka még vizsgálat alatt áll.
A tokenek egy részét ETH-ra váltották
A híd normál esetben csak akkor ad ki vagy old fel tokeneket a célhálózaton, ha a forrásláncon a megfelelő mennyiséget valóban zárolták vagy elégették, és ezt a validátorok is ellenőrizték. Az incidens ezért a láncok közötti üzenetek hitelesítését érintő biztonsági problémára utal.
A láncon rögzített adatok alapján a támadó a frissen létrehozott tokenekből mintegy 7,2 millió CYS-t decentralizált kereskedési útvonalakon értékesített. A CYS-eket ETH-ra váltotta, majd az összeget az Ethereum hálózatára vitte át. A tranzakciók végén hozzávetőleg 306,6 ETH-hoz jutott, ami az akkori árfolyamon mintegy 727 ezer dollárt ért. A The Block szerint az összeg BNB Chainről történő átviteléhez több láncok közötti szolgáltatást is igénybe vettek.
A Cysic körülbelül 76 perccel a jogosulatlan kibocsátás után feketelistára tette a fogadó címet. Ezzel korlátozni tudta az ott maradt, hozzávetőleg 2,8 millió CYS mozgatását. Az intézkedés csak a BNB Chainen kezelt CYS-re vonatkozott, a már ETH-ra váltott és Ethereumra átvitt összeget nem érintette.
A teljes kár még nem ismert
A Cysic szerint az eset a híd üzenetfeldolgozási és tokenkibocsátási funkcióira korlátozódott; a főhálózat és a felhasználók meglévő tárcaegyenlegei nem sérültek. A vállalat külső biztonsági szakértőt is bevont a források nyomon követésére és a technikai okok feltárására.
A jogosulatlanul létrehozott 10 millió token mennyisége nem egyenlő a végleges pénzügyi kárral. A jelenleg elérhető adatok a már értékesített tokenekből származó, Ethereumra átvitt, mintegy 727 ezer dolláros összeget támasztják alá. A teljes mérleg és az esetleges további következmények vizsgálata folyamatban van. A híd a biztonsági felülvizsgálat lezárásáig felfüggesztve marad.