Dix millions de jetons créés à partir de rien, dont 7,2 millions revendus dans la foulée. Le 17 octobre, un attaquant a exploité le bridge de Cysic, le pont inter-chaînes de ce projet d'infrastructures de preuves à divulgation nulle de connaissance, pour émettre 10 millions de CYS sur BNB Smart Chain. Selon les données on-chain reprises par le Journal du Coin, environ 306,6 ETH, valorisés à 727 000 dollars au cours de dimanche, ont ensuite rejoint Ethereum. Cysic a suspendu son pont et ouvert une enquête.

Comment la faille du bridge a été exploitée

Le rapport préliminaire de la fondation Cysic décrit une attaque en deux temps. L'attaquant a d'abord obtenu un accès non autorisé à une base de données utilisée par les services du bridge. Il aurait ensuite exploité une vulnérabilité dans la logique de traitement pour soumettre un faux message d'émission. Résultat : une transaction a créé 10 millions de CYS à 12 h 31 UTC sur BNB Smart Chain.

La fondation situe l'incident dans les fonctions de traitement des messages et de création des jetons du pont. Elle reconnaît toutefois que le chemin d'attaque complet et la cause précise sont encore en cours d'investigation. Le détail technique de la vulnérabilité n'est pas précisé à ce stade, et il serait hasardeux d'aller plus loin que ce que Cysic a publié.

Des ventes en rafale

L'attaquant n'a pas traîné. Cinq minutes après l'émission, l'adresse réceptrice a commencé à vendre les CYS. D'après The Block, cité par le Journal du Coin, une première série de onze transactions a échangé 5,65 millions de jetons contre 588 315 USDT. Quatre opérations supplémentaires ont ensuite converti 1,55 million de CYS en environ 220 BNB. Les ventes se sont achevées à 12 h 59 UTC.

Douze des quinze transactions sont passées par l'agrégateur décentralisé d'OKX, qui a réparti les échanges entre plusieurs plateformes, dont PancakeSwap. Au total, 7,2 millions de jetons ont été vendus.

La riposte de la fondation : un gel partiel

La fondation a inscrit l'adresse de l'attaquant sur la liste noire du contrat CYS à 13 h 47 UTC, soit environ 76 minutes après l'émission frauduleuse. Cette mesure immobilise les 2,8 millions de jetons encore présents sur l'adresse. Elle ne récupère pas, en revanche, les actifs obtenus lors des ventes précédentes.

Pour le reste, la réponse de Cysic tient en quelques points :

  • le bridge est suspendu et reste fermé jusqu'à l'achèvement de la revue de sécurité ;
  • une société de sécurité, dont le nom n'a pas été communiqué, participe à l'enquête et au traçage des fonds ;
  • selon la fondation, aucun actif existant n'a été dérobé dans les portefeuilles des utilisateurs ;
  • le réseau principal fonctionnerait normalement : le consensus, la production des blocs et l'exécution des transactions ne seraient pas concernés.

Ces affirmations émanent de Cysic elle-même. Le calendrier de réouverture du pont n'est pas précisé, pas plus qu'un éventuel dispositif de dédommagement.

Environ 727 000 dollars partis vers Ethereum

L'attaquant a commencé à déplacer ses recettes avant même d'avoir terminé ses ventes. Il a utilisé SWFT, Mayan et deBridge pour convertir et transférer les USDT et les BNB vers Ethereum. Toujours selon The Block, l'adresse a reçu environ 306,6 ETH sur ce réseau, puis a envoyé 306,52 ETH vers un second portefeuille, en cinq transferts.

C'est là que le gel montre sa limite : la liste noire ne porte que sur les CYS de l'adresse bloquée sur BNB Smart Chain. Elle n'a aucun effet sur les ethers déjà passés sur Ethereum. Le travail de traçage, comparable à celui mené après d'autres piratages crypto, devient alors la principale piste.

Cysic souligne d'ailleurs que le nombre de jetons émis ne permet pas, à lui seul, de calculer les pertes finales. Les 10 millions de CYS créés ne se traduisent donc pas mécaniquement en un montant de dommage, et le chiffre définitif n'est pas connu.

Bridge crypto : pourquoi les ponts restent exposés

L'épisode Cysic illustre une fragilité structurelle des ponts inter-chaînes. Un bridge doit accepter un message venu d'un réseau pour créer ou libérer des jetons sur un autre. Si ce message peut être falsifié, comme la fondation le décrit ici, le pont émet des jetons qui ne correspondent à aucun dépôt réel. Le cas présent combine en plus une composante hors chaîne, une base de données, avec la logique du contrat lui-même.

Pour la sécurité DeFi, la leçon tient en peu de mots : les composants qui relient les réseaux, qu'il s'agisse de ponts maison ou d'infrastructures de dépôts cross-chain, concentrent des pouvoirs d'émission et de transfert. Une faille à cet endroit touche directement l'offre d'un jeton. Le Journal du Coin ne fournit pas de statistiques sur l'ampleur des piratages de bridges en général, et nous n'en avancerons pas ici.

Reste à voir ce que la revue de sécurité de Cysic établira sur la cause exacte, et quand le pont rouvrira. D'ici là, les 2,8 millions de CYS gelés et les 306,52 ETH transférés vers un second portefeuille sont les deux éléments concrets à suivre.

Sources

  • Journal du Coin : « 727 000 dollars envolés vers Ethereum : Le bridge de Cysic piraté »