Cysic stoppt Bridge nach Prägung von 10 Millionen ungedeckten CYS

Ein Angreifer hat über die Cross-Chain-Bridge des Rechennetzes Cysic 10 Millionen CYS auf der BNB Smart Chain erzeugt, denen nichts gegenübersteht. Die Stiftung hat die Bridge geschlossen und die Empfängeradresse gesperrt; wie hoch der Schaden in Dollar ist, beziffert sie noch nicht.

Die unerlaubte Prägung geschah nach dem Vorfallbericht der Cysic Foundation am Samstag um 12:31:38 Uhr UTC, also kurz nach halb drei Uhr MESZ. Nach den vorläufigen Erkenntnissen verschaffte sich der Angreifer Zugriff auf eine Datenbank, die Dienste rund um die Bridge nutzen, und schleuste über eine Schwachstelle in der Verarbeitung eine gefälschte Prägenachricht ein. Den vollständigen Angriffsweg untersucht eine Sicherheitsfirma, deren Namen die Stiftung nicht nennt.

Gesperrt wurde die Adresse um 13:47:52 Uhr UTC, also 76 Minuten nach der Prägung.

Auf ihr liegen nach Angaben der Stiftung noch rund 2,8 Millionen CYS, die sich nicht mehr übertragen lassen. Was mit den übrigen gut 7 Millionen geschah, ob sie getauscht oder verkauft wurden, wird nach dem Bericht noch geprüft. „The number of tokens minted does not, by itself, represent the final loss in U.S. dollar terms“, schreibt Cysic: Die Zahl der erzeugten Token stehe für sich genommen noch nicht für den endgültigen Verlust in Dollar.

Die Bridge prägt Token auf Zuruf einer Nachricht

Eine Cross-Chain-Bridge verbindet zwei Blockchains. Wer CYS vom einen Netz ins andere schicken will, gibt sie auf der einen Seite ab, und auf der anderen Seite entsteht dieselbe Menge neu, sobald die Bridge eine entsprechende Nachricht verarbeitet. Gelingt es, eine solche Nachricht zu fälschen, entstehen Token ohne Gegenwert. Nach demselben Muster hatte ein Angreifer im September bei der Symbiosis Bridge ungedeckte Bitcoin-Token erzeugt.

Die Stiftung betont, dass das Hauptnetz von Cysic und bestehende Guthaben nicht betroffen seien. „Existing user assets were not stolen“, heißt es in dem Bericht, Guthaben der Nutzer seien also nicht abgeflossen. Die Bridge bleibt geschlossen, bis die Sicherheitsprüfung abgeschlossen ist; einen Termin für die Wiedereröffnung nennt Cysic nicht.

CYS fällt in der Stunde nach der Prägung um 12,8 Prozent

Die 10 Millionen zusätzlichen CYS entsprechen rund 6,2 Prozent der umlaufenden Menge von 160,8 Millionen, bei einem kleinen Altcoin mit einem Marktwert von zuletzt rund 18,5 Millionen Dollar. Am Samstag um 12:00 Uhr UTC kostete CYS 0,1253 US-Dollar, um 13:00 Uhr UTC waren es 0,1092 Dollar. Am Abend erholte sich der Kurs auf 0,1295 Dollar, am Sonntag um 18:02 Uhr MESZ lag er bei 0,1151 Dollar und damit 23,0 Prozent unter dem Stand von vor einer Woche. Quelle: CoinGecko

Ob der Angreifer diesen Rückgang mit Verkäufen ausgelöst hat, sagt die Stiftung nicht. Für Halter ist bis zum Folgebericht offen, wie viele der ungedeckten Token noch im Umlauf sind und ob Cysic sie wieder einzieht; über die geschlossene Bridge lassen sich CYS derzeit nicht zwischen Hauptnetz und BNB Smart Chain verschieben. Cointelegraph, The Defiant und Crypto Briefing berichten übereinstimmend und nennen keine weiteren Zahlen.

Den Folgebericht will die Stiftung erst nach der laufenden Untersuchungsphase veröffentlichen, mit dem tatsächlichen Verlust und dem Stand der Rückverfolgung.