Cysic ha suspendido su puente entre cadenas después de que, según se informa, un atacante explotara una falla de procesamiento para acuñar 10 millones de tokens CYS sin autorización en BNB Smart Chain el 17 de octubre.
Resumen
- Cysic suspendió su puente entre cadenas después de que, según se informa, un atacante acuñara 10 millones de tokens CYS no autorizados.
- El atacante presuntamente explotó debilidades en el procesamiento del puente tras obtener acceso no autorizado a un sistema de base de datos de soporte.
- Cysic incluyó en la lista negra una dirección que contenía aproximadamente 2,8 millones de CYS, restringiendo transferencias adicionales desde esa billetera.
- El proyecto afirmó que su red principal permaneció intacta y que los activos existentes en las billeteras de los clientes no fueron robados.
- Los investigadores están revisando los movimientos de tokens y las posibles pérdidas antes de que Cysic publique su próximo informe de seguridad.
En una declaración del 18 de octubre, la Fundación Cysic dijo que su investigación preliminar identificó un acceso no autorizado a una base de datos que respaldaba el puente, seguido del envío de mensajes de acuñación fraudulentos.
La empresa confirmó que había detenido las operaciones del puente y restringido las transferencias desde una dirección que contenía aproximadamente 2,8 millones de CYS. Afirmó que su red principal y otros sistemas operativos permanecieron intactos, mientras los investigadores continuaban examinando el movimiento de los tokens recién creados.
Cysic no ha establecido una pérdida financiera final. Su informe de incidente distingue la cantidad de tokens creados del valor que un atacante podría haber obtenido mediante transacciones completadas.
El exploit del puente de Cysic crea 10 millones de tokens no autorizados
El ataque tuvo lugar el 17 de octubre, con la acuñación no autorizada registrada a las 12:31:38 UTC, según la cronología del incidente del proyecto.
Los hallazgos preliminares indican que el atacante accedió a una base de datos utilizada por el puente entre cadenas de Cysic y explotó debilidades en su lógica de procesamiento de mensajes.
El puente procesa instrucciones asociadas con transferencias entre las redes compatibles. En este incidente, el atacante presuntamente manipuló ese proceso para autorizar la creación de tokens CYS en BNB Smart Chain.
La Fundación ha descrito los componentes afectados como el procesamiento de mensajes del puente y la acuñación. No ha identificado un compromiso de la red principal subyacente de Cysic.
Tras la emisión no autorizada, el equipo suspendió el puente para evitar más actividad a través del servicio afectado mientras continuaba la investigación.
Los hallazgos técnicos siguen siendo preliminares. Cysic no ha publicado un relato completo del método de acceso a la base de datos, la debilidad precisa del código ni la secuencia de transacciones utilizadas para desencadenar la acuñación.
No había disponible ningún informe forense independiente en el material que acompañaba al anuncio inicial.
Cysic incluye en la lista negra una billetera que contiene 2,8 millones de CYS
Tras detectar el ataque, el equipo identificó una dirección de destinatario asociada con los tokens no autorizados.
A las 13:47:52 UTC del 17 de octubre, Cysic añadió la dirección a la lista negra del contrato de tokens, impidiéndole transferir los tokens que quedaban en esa ubicación.
La restricción se produjo una hora, 16 minutos y 14 segundos después de la acuñación reportada.
Aproximadamente 2,8 millones de CYS permanecían en la dirección incluida en la lista negra. Usando la emisión anunciada de 10 millones de tokens como cantidad de referencia, el saldo restringido representaba el 28% de la acuñación no autorizada.
Los otros 7,2 millones de tokens no se incluyeron en ese saldo restante reportado. Su ausencia de la dirección restringida no establece cuántos fueron vendidos, transferidos a otro lugar, recuperados o convertidos en otras criptomonedas.
Cysic dijo que los investigadores estaban rastreando las transferencias de tokens y revisando posibles intercambios para determinar las consecuencias financieras reales.
La empresa no ha publicado un total verificado de los fondos recibidos por el atacante, una lista completa de las direcciones receptoras ni una valoración independiente de los activos que puedan haber salido del sistema afectado.
Aunque la acuñación no autorizada involucró 10 millones de CYS, la cifra de emisión no puede tratarse como una pérdida confirmada en dólares.
Un cálculo basado en el precio de mercado de un token estimaría el valor nocional de la oferta recién creada. No establecería la cantidad que un atacante podría vender o retirar realmente de la liquidez comercial disponible.
Cysic no ha informado de una recuperación completada de los tokens fuera de la dirección incluida en la lista negra.
Cysic afirma que la mainnet y los activos existentes en las carteras permanecen seguros
En su evaluación inicial, la Fundación limitó la brecha a su infraestructura de puente entre cadenas.
La empresa declaró que el incidente no afectó a las operaciones de la mainnet de Cysic ni a otras partes de su red. Informó de que no se produjo una retirada no autorizada de saldos existentes de CYS ni de otros activos de las carteras de los clientes.
Esas declaraciones describen los hallazgos preliminares del proyecto. No equivalen a una auditoría de seguridad independiente completada.
Un puente entre cadenas permite que los tokens o las instrucciones de transferencia se muevan entre entornos blockchain separados. Los operadores de puentes suelen depender de sistemas de procesamiento que verifican la actividad en una red antes de autorizar la actividad correspondiente en otra.
El ataque reportado por Cysic involucró la autorización de nuevos tokens mediante mensajes manipulados. La divulgación disponible no describe que los atacantes retiraran directamente los activos subyacentes de las carteras de los usuarios.
La Fundación ha contratado a una empresa de seguridad externa para examinar el incidente y rastrear la actividad relacionada con la emisión no autorizada.
Su investigación abarca la ruta del ataque, la infraestructura afectada y el movimiento de los tokens acuñados. El proyecto tiene la intención de publicar un informe de seguimiento tras la revisión actual.
No se ha anunciado ninguna fecha de reapertura para el puente suspendido.
CYS impulsa la computación y la gobernanza dentro de la red
Cysic describe su plataforma como una red de computación descentralizada que utiliza tecnología blockchain para coordinar recursos computacionales y recompensar a los participantes.
Según su tokenomics oficial, CYS respalda la gobernanza de la red, el acceso a recursos computacionales y los pagos a los participantes que proporcionan hardware o realizan tareas computacionales.
La oferta de tokens publicada del proyecto es de 1.000 millones de CYS, con asignaciones separadas para incentivos del ecosistema, inversores, contribuyentes, su tesorería de la fundación y programas de liquidez comunitaria.
La acuñación no autorizada de 10 millones de tokens equivale al 1% de esa oferta total declarada, según las cifras de tokenomics del proyecto.
La comparación mide la escala de la emisión no autorizada frente a la oferta publicada. No establece si todos los tokens acuñados entraron en circulación o modificaron la oferta efectiva disponible para su comercialización.
Los tenedores de CYS pueden hacer staking de tokens para recibir Cysic Governance Token, o CGT, que el proyecto describe como crédito de gobernanza no transferible.
Según su diseño publicado, CGT respalda la participación en propuestas de protocolo, la selección de validadores y las decisiones relacionadas con los parámetros económicos de la red.
Los proveedores de computación utilizan CYS para reservar capacidad para tareas que incluyen la generación de pruebas de conocimiento cero y cargas de trabajo de inteligencia artificial. El token se utiliza para incentivos vinculados a esas actividades.
El calendario de asignación de la Fundación asigna el 40,19% de la oferta de tokens a incentivos del ecosistema, el 23,62% a inversores y el 12,11% a contribuyentes.
Otro 8% se asigna a la tesorería de la fundación, mientras que los incentivos comunitarios y la liquidez representan el 16,08%.
Otros incidentes de puentes muestran por qué la oferta acuñada y las pérdidas difieren
La creación no autorizada de tokens ha aparecido en varios otros incidentes de seguridad entre cadenas durante 2026, aunque las causas técnicas y las consecuencias financieras han variado.
En agosto, crypto.news informó sobre una explotación de un puente relacionada con el token SAND de The Sandbox en Base y BNB Smart Chain.
The Sandbox suspendió las operaciones del puente afectadas después de que los atacantes crearan tokens no autorizados mediante permisos comprometidos. Su respuesta inicial distinguió el suministro recién acuñado de los activos directamente afectados.
Un análisis posterior del ataque encontró que se habían creado aproximadamente 329 billones de tokens SAND sin respaldo, mientras que la fuga de reservas confirmada fue mucho menor, de aproximadamente $675,000.
Durante un incidente separado en mayo, Stake DAO cerró su puente afectado después de que un atacante acuñara vsdCRV no autorizados en Arbitrum.
El proyecto dijo que su respaldo en la red principal de Ethereum permaneció asegurado y que los productos clave continuaron operando.
Más recientemente, un informe del 13 de octubre cubrió una presunta explotación del puente que afectó al token THEO de Autheo. La firma de seguridad PeckShield informó que un atacante creó 19 millones de THEO e intercambió tokens por aproximadamente 700.8 ETH.
La investigación de Cysic aún no ha establecido una cifra comparable para los activos intercambiados o retirados. La Fundación planea publicar un informe adicional después de que la revisión de seguridad produzca hallazgos más completos.
