Cysic、BNBスマートチェーンで1,000万CYSの不正鋳造を受けブリッジを停止

不正鋳造から76分、280万CYSをブラックリストで凍結

Cysicは10月17日、BNBスマートチェーン上で攻撃者が1,000万CYSトークンを無権限のまま鋳造した事態を受け、クロスチェーンブリッジの運用を停止した。10月18日にCysic FoundationがX上で公表した声明によると、予備調査の結果、ブリッジの基盤となるデータベースへの不正アクセスが確認され、攻撃者はこれを利用して偽の鋳造メッセージを送信したという。プロジェクト公表のタイムラインでは、無権限の鋳造は世界協定時の12時31分38秒に記録されている。 Foundationの説明によれば、問題の箇所はブリッジのメッセージ処理層にある。この種のブリッジは、片方のネットワーク上で送金指示を検証してから、もう片方のネットワークで対応する処理を許可する仕組みであり、攻撃者はこの検証プロセスを操作して新規CYSの発行を許可させたとされる。Cysicは自社のプラットフォームを、計算資源を調整し参加者へ報酬を分配する分散型コンピューティングネットワークと位置づけており、CYSはガバナンス、計算資源へのアクセス、ハードウェア提供者への支払いを支える役割を担う。今回の攻撃が発生したのはBNBスマートチェーンで、同チェーンは直近90日間で172万人のトークン化株式保有者を追加するなど成長が続いている。対応の速さは、ブリッジ事故の事例と比べれば際立っている。10月17日の世界協定時13時47分52秒、鋳造の記録から1時間16分14秒が経過した時点で、運営チームは受取アドレスをトークンコントラクトのブラックリストに追加し、そこに残っていた約280万CYSの移転を停止させた。Foundationによれば、メインネットの運用やその他のシステムへの影響はなく、既存ユーザーのウォレットから資産が流出した事実もない。MetaMaskをBNBスマートチェーンに接続して利用するユーザーの保有分も同様に無事だとしている。ブリッジの停止は、当該サービスを経由する追加の活動を防ぐことが目的で、調査者がトークンの動きを追跡している間は続けられる。再開時期は未定だ。データベースがどう侵入されたのか、どの脆弱性が突かれたのか、どの取引が鋳造を引き起こしたのかは明かされておらず、独立したフォレンジック報告も発表には添えられなかった。

発行量は総供給の1%に相当

凍結されたウォレットは、公表された1,000万トークンという発行量を基準にすれば、その28%を占める。残る720万トークンはブラックリスト登録済みのアドレスにはなく、この事実だけでは売却されたのか、別の場所へ移されたのか、回収されたのか、他の暗号資産に換えられたのかを確定できない。Cysicは凍結ウォレット以外のトークン回収が完了したとは報告しておらず、調査者は送金の追跡と想定されるスワップの確認を進め、実際の損害額を確定させようとしている。金額については、プロジェクト自身も具体的な数字を出していない。インシデント報告は、鋳造されたトークンの数量と、攻撃者が完了済み取引を通じて得たかもしれない価値を区別しており、時価での計算は新規供給の名目価値を見積もることにしかならない。CYS取引市場の集中流動性に現実に売却できる額とはかけ離れるためだ。攻撃者の収益の検証済み合計、受取アドレスの完全な一覧、流出資産の独立した評価額は、いずれも公表されていない。事態の規模はトークン設計と比べると見通しやすい。Cysicが公表するトークノミクスでは総供給量は10億CYSであり、今回の無権限鋳造はその1%に相当する。配分比率は、エコシステムのインセンティブに40.19%、投資家に23.62%、コントリビューターに12.11%、Foundationのトレジャリーに8%、コミュニティのインセンティブと流動性に16.08%となっている。保有者はCYSをステーキングして譲渡不可能なガバナンストークンであるCGTを受け取れる。CGTはプロトコルの提案、バリデーター選定、経済パラメーターの決定をカバーする。一方、計算資源の提供者はCYSを使ってゼロ知識証明の生成やAIワークロード向けの処理能力を確保する。ブリッジの欠陥を突いた無権限鋳造は2026年を通じて繰り返されている。The SandboxのSANDでは裏付けのない329兆トークンが鋳造され、確認された流出額は約67万5,000ドルにとどまった。また、PeckShieldの報告によれば10月13日のAutheoへの攻撃では1,900万THEOが鋳造され、約700.8ETHに交換された。Cysicの調査から同種の数字が示されるには至っていない。

行方が確認できない720万トークン

今回のオンチェーン記録は例外的に整理されている。世界協定時12時31分38秒の鋳造と、約76分後のブラックリスト取引は、いずれもBNBスマートチェーン上で誰でも直接検証できる。つまり、封じ込められた量は運営チームの説明だけに依存する数字ではない。Foundationの予備報告によれば、根本原因はデータベースのアクセス制御と、ブリッジプロトコルのメッセージ処理ロジックにある。対応によって確定したのは影響の範囲だ。鋳造量の28%が凍結され、ブリッジはオフラインとなり、メインネットは維持されたとされる。未解決なのは残る720万トークンで、検証済みの収支はなく、回収も完了しておらず、攻撃者の収益も金額化されていない。 BNB Chain上の資金流追跡はすでに現実の取り組みとなっている。CZがLedgerの再販業者からの9,290万ドル流出を追跡するようコミュニティに呼びかけた一件がその例だ。Foundationが公表する意向のフォローアップ報告は、現時点では確定した調査結果ではなく、意向の段階にとどまっている。