Cysic调查BNB链上未经授权的1000万枚CYS代币铸造事件…_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Cysic调查BNB链上未经授权的1000万枚CYS代币铸造事件…

2026-10-18 21:31:25

Cysic跨链桥因漏洞暂停服务：攻击者未经授权铸造1000万枚CYS代币

10月17日，Cysic在BNB智能链上暂停了其跨链桥服务。此前，一名攻击者利用处理漏洞，未经授权铸造了1000万枚CYS代币。这一事件引发了市场对其代币供应完整性以及持有者潜在财务损失的担忧。

根据Cysic基金会于10月18日（周日）发布的事故报告，初步调查显示，攻击者获取了支持其桥接基础设施的数据库的未授权访问权限，并利用逻辑缺陷生成了欺诈性的铸造消息。作为应对措施，Cysic已将持有约280万枚CYS的地址列入黑名单，限制了该钱包的进一步转账操作。然而，剩余代币的去向及此次事件的实际财务影响仍在调查中。Cysic表示，其主网及其他运营系统未受影响，用户钱包中现有的代币或其他资产并未被盗。

攻击者是如何铸造1000万枚CYS的？

据Cysic初步调查，这次未经授权的铸造行为发生在10月17日UTC时间12:31:38。据报道，攻击者在利用消息处理逻辑中的弱点之前，先访问了支持跨链桥的数据库。跨链桥通常依赖消息或证明来授权在目标网络上创建代币，前提是在另一条区块链上已锁定或记录了相应资产。当授权流程失效时，攻击者可能在没有合法对应转移的情况下凭空创建代币。目前，Cysic尚未披露具体的技术序列，也未说明是否有特权凭证遭到泄露。

在未经授权铸造发生约76分钟后，即UTC时间13:47:52，Cysic将接收地址加入代币合约的黑名单，并暂停了桥接操作以防止进一步的未授权发行。该事件与此前Axelar-Secret Network桥接漏洞相似，当时伪造的跨链消息导致目标合约在无合法背书的情况下铸造了代币。尽管技术漏洞有所不同，但这两种情况都说明了在授权代币发行前验证跨链消息的重要性。

投资者启示：当前的首要关注点在于桥接授权的完整性，而非Cysic主网遭受入侵的证据。在恢复桥接服务之前，投资者需要确认被利用的处理路径已得到加固。

剩余的720万枚CYS去了哪里？

这1000万枚未经授权的代币占Cysic记录在案的10亿枚CYS总供应量的1%。但这并不能确定流通供应量增加的比例或可用于交易的金额。在Cysic公布 containment 措施时，约有280万枚CYS（即未授权发行量的28%）仍停留在被列入黑名单的地址中。报告中该钱包余额未包含剩余的720万枚代币。然而，这一差异并不能证明所有代币都已卖出、通过交易所提现或转换为其他加密货币。调查人员必须追踪后续转账，确定代币是否进入了流动性池或交易所，并评估攻击者实际提取了多少价值。

在可用流动性不足以吸收大量新铸造代币而不会造成大幅价格滑点的市场中，这种区分尤为重要。类似的问题曾出现在The Sandbox的8月桥接漏洞事件中，当时攻击者铸造了数十亿枚无背书的SAND代币，但实际经济损失远低于这些代币的名义市值。截至目前，Cysic尚未公布经确认的美元损失、已验证的销售收益或未授权供应量的完整对账结果。

投资者启示：“1000万枚CYS”衡量的是未授权发行量，而非已实现的财务损失。关键变量包括有多少代币进入可交易流通、提取了多少流动性，以及剩余供应量是否能被隔离。

此次事件是否威胁Cysic的主网或代币经济？

Cysic指出，漏洞仅限于桥接消息处理和铸造功能，未发现其主网或其他操作系统受到入侵。尽管如此，此次事件给CYS供应的对账以及用于在网络间移动代币的跨链基础设施的可靠性带来了不确定性。CYS是Cysic去中心化计算生态系统的实用性和激励代币。网络参与者使用该代币进行计算相关活动、质押和奖励，而治理权则通过CGT行使，持有者可以通过质押CYS获得CGT。即使现有钱包余额保持完好，未经授权的发行仍可能破坏对这些经济安排的信心。

Cysic的安全文件显示，其代币合约、铸造权限和跨链桥基础设施均经过第三方审计。然而，初步事故报告并未确立被利用的数据库处理路径是否包含在这些审查范围内。

Cysic在重新开放桥接服务前必须解决哪些问题？

Cysic已聘请外部安全公司调查攻击路径并追踪未授权代币。该公司计划在当前调查阶段结束后发布后续报告。其恢复过程需要确定铸造代币的全部分布，判断流动性提供者或交易者是否遭受损失，并解释如何纠正底层处理缺陷。以往的桥接事件表明，初始估算可能会发生重大变化。例如，今年4月，Hyperbridge将其漏洞影响修正为约250万美元，因为调查人员发现了超出最初报告的以太坊损失之外的损害。

对于Cysic而言，下一次有意义的披露应包括：未授权代币的经核实会计记录、任何已实现的财务损失、漏洞修复的独立确认，以及恢复桥接服务的时间表。

投资者启示：将一个地址列入黑名单仅限制该钱包的进一步转账，但并未解决更广泛的供应问题。完整的代币对账和经过独立审查的安全修复将为事件已得到控制提供更有力的证据。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文