Dieci milioni di token creati dal nulla, di cui 7,2 milioni rivenduti subito dopo. Il 17 ottobre, un attaccante ha sfruttato il bridge di Cysic, il ponte cross-chain di questo progetto di infrastrutture per prove a conoscenza zero, per emettere 10 milioni di CYS su BNB Smart Chain. Secondo i dati on-chain ripresi dal Journal du Coin, circa 306,6 ETH, pari a 727 000 dollari al corso di domenica, sono poi confluiti su Ethereum. Cysic ha sospeso il suo ponte e avviato un'indagine.

Come è stata sfruttata la falla del bridge

Il rapporto preliminare della fondazione Cysic descrive un attacco in due tempi. L'attaccante ha dapprima ottenuto un accesso non autorizzato a una banca dati utilizzata dai servizi del bridge. In seguito avrebbe sfruttato una vulnerabilità nella logica di elaborazione per inviare un falso messaggio di emissione. Risultato: una transazione ha creato 10 milioni di CYS alle 12:31 UTC su BNB Smart Chain.

La fondazione colloca l'incidente nelle funzioni di elaborazione dei messaggi e di creazione dei token del ponte. Riconosce tuttavia che il percorso completo dell'attacco e la causa precisa sono ancora oggetto di indagine. Il dettaglio tecnico della vulnerabilità non è stato precisato in questa fase, e sarebbe azzardato spingersi oltre quanto pubblicato da Cysic.

Vendite a raffica

L'attaccante non ha perso tempo. Cinque minuti dopo l'emissione, l'indirizzo ricevente ha iniziato a vendere i CYS. Secondo The Block, citato dal Journal du Coin, una prima serie di undici transazioni ha scambiato 5,65 milioni di token contro 588 315 USDT. Quattro operazioni supplementari hanno poi convertito 1,55 milioni di CYS in circa 220 BNB. Le vendite si sono concluse alle 12:59 UTC.

Dodici delle quindici transazioni sono passate dall'aggregatore decentralizzato di OKX, che ha ripartito gli scambi tra diverse piattaforme, tra cui PancakeSwap. In totale sono stati venduti 7,2 milioni di token.

La risposta della fondazione: un congelamento parziale

La fondazione ha inserito l'indirizzo dell'attaccante nella lista nera del contratto CYS alle 13:47 UTC, ossia circa 76 minuti dopo l'emissione fraudolenta. Questa misura immobilizza i 2,8 milioni di token ancora presenti sull'indirizzo. Non recupera invece gli attivi ottenuti con le vendite precedenti.

Per il resto, la risposta di Cysic si riassume in pochi punti:

  • il bridge è sospeso e rimane chiuso fino al completamento della revisione di sicurezza;
  • una società di sicurezza, il cui nome non è stato comunicato, partecipa all'indagine e al tracciamento dei fondi;
  • secondo la fondazione, nessun attivo esistente è stato sottratto dai portafogli degli utenti;
  • la rete principale funzionerebbe normalmente: il consenso, la produzione dei blocchi e l'esecuzione delle transazioni non sarebbero interessati.

Queste affermazioni provengono dalla stessa Cysic. Il calendario di riapertura del ponte non è precisato, né lo è un eventuale meccanismo di risarcimento.

Circa 727 000 dollari partiti verso Ethereum

L'attaccante ha iniziato a spostare i proventi ancora prima di aver terminato le vendite. Ha utilizzato SWFT, Mayan e deBridge per convertire e trasferire gli USDT e i BNB verso Ethereum. Sempre secondo The Block, l'indirizzo ha ricevuto circa 306,6 ETH su questa rete, per poi inviare 306,52 ETH a un secondo portafoglio, in cinque trasferimenti.

È qui che il congelamento mostra il suo limite: la lista nera riguarda soltanto i CYS dell'indirizzo bloccato su BNB Smart Chain. Non ha alcun effetto sugli ether già passati su Ethereum. Il lavoro di tracciamento, paragonabile a quello svolto dopo altri attacchi hacker nel mondo crypto, diventa quindi la pista principale.

Cysic sottolinea peraltro che il numero di token emessi non permette, da solo, di calcolare le perdite finali. I 10 milioni di CYS creati non si traducono dunque meccanicamente in un importo del danno, e la cifra definitiva non è nota.

Bridge crypto: perché i ponti restano esposti

L'episodio Cysic illustra una fragilità strutturale dei ponti cross-chain. Un bridge deve accettare un messaggio proveniente da una rete per creare o sbloccare token su un'altra. Se tale messaggio può essere falsificato, come descrive qui la fondazione, il ponte emette token che non corrispondono ad alcun deposito reale. Il caso in questione combina inoltre una componente off-chain, una banca dati, con la logica del contratto stesso.

Per la sicurezza DeFi, la lezione si riassume in poche parole: i componenti che collegano le reti, che si tratti di ponti sviluppati in proprio o di infrastrutture di depositi cross-chain, concentrano poteri di emissione e di trasferimento. Una falla in quel punto colpisce direttamente l'offerta di un token. Il Journal du Coin non fornisce statistiche sulla portata degli attacchi ai bridge in generale, e non ne avanzeremo qui.

Resta da vedere che cosa stabilirà la revisione di sicurezza di Cysic sulla causa esatta, e quando il ponte riaprirà. Nel frattempo, i 2,8 milioni di CYS congelati e i 306,52 ETH trasferiti a un secondo portafoglio sono i due elementi concreti da seguire.

Fonti

  • Journal du Coin: «727 000 dollars envolés vers Ethereum : Le bridge de Cysic piraté»