Le monde des cryptomonnaies a de nouveau été secoué par un piratage majeur, impliquant le réseau Cysic. Le 17 octobre, un attaquant a réussi à créer 10 millions de tokens CYS sur la BNB Smart Chain sans qu'aucun dépôt ne soit effectué sur un autre réseau. Cette situation a conduit la Cysic Foundation à suspendre immédiatement son pont inter-chaînes, une décision prise pour protéger ses utilisateurs et leurs actifs.
Dans un rapport préliminaire publié sur X le 18 octobre, la fondation a indiqué qu'un exploit dans la base de données utilisée par les services du pont avait été la cause de cette faille. Bien que l'attaque ait permis la création de tokens non autorisés, Cysic a assuré que son réseau principal ainsi que les actifs déjà détenus dans les portefeuilles des utilisateurs n'avaient pas été compromis.
Comment 10 millions de CYS ont atteint la BNB Smart Chain
Le pont de Cysic a pour fonction de déplacer les CYS entre la chaîne principale du projet et d'autres réseaux, comme la BNB Smart Chain et Base. L'attaque a eu lieu à 12h31 UTC. À 13h47 UTC, 76 minutes plus tard, l'équipe a blacklisté l'adresse du portefeuille récepteur, immobilisant ainsi environ 28 % des nouveaux tokens émis. Malheureusement, 7,2 millions de CYS avaient déjà été transférés ailleurs.
Alors que le montant total des tokens non autorisés représente 1 % de l’approvisionnement total de 1 milliard de CYS revendiqué par le projet, le risque demeure élevé pour les détenteurs des tokens restants. L'attaquant a la capacité de vendre des portions non échangées de ces tokens sur des marchés peu liquides, entraînant potentiellement des pertes pour les investisseurs.
Pourquoi le contrat a obéi à un ordre falsifié
La sécurité d'un pont dépend fondamentalement d'un contrôle crucial : avant de créer des tokens sur la chaîne de destination, il faut confirmer qu'un montant équivalent a été verrouillé ou brûlé sur la chaîne d'origine. Cependant, de nombreux contrats de pont ne peuvent pas effectuer cette vérification par eux-mêmes. Ils doivent donc s'appuyer sur un relai ou un service de messagerie externalisé pour apporter cette confirmation.
Dans ce cas, l'attaquant a pu manipuler la base de données pour envoyer une instruction à un contrat qui semblait valide. Le rapport préliminaire de Cysic ne précise pas si la méthode d'accès à la base de données était couverte par les audits de sécurité antérieurs, laissant planer le doute sur la solidité du système de vérifications en place.
Cinq mois d'échecs de pont
Ce piratage de Cysic n'est pas un incident isolé ; c'est le deuxième piratage de pont aboutissant à une création non assise dans moins d'une semaine. Des précédents comme celui d’Autheo, qui a vu 19 millions de THEO créés sans couverture, illustrent une tendance inquiétante. Ce dernier cas a eu lieu le 12 octobre, et des recherches ont été menées pour tenter de déterminer l’ampleur totale du problème.
Les incidents de piratage au cours des mois précédents ont coûté environ 776 millions de dollars, selon la société de sécurité Nominis. Huit de ces incidents concernaient des ponts ou des systèmes d'interopérabilité, et environ 11 millions de dollars étaient liés à des créations non autorisées. Cette situation souligne que le piratage de ponts représente une part significative des vols dans le secteur des cryptomonnaies.
Ce que Cysic doit démontrer avant de rouvrir
La Cysic Foundation a suspendu son pont jusqu'à ce qu'une entreprise de sécurité externe, dont le nom n’a pas été divulgué, termine son enquête. Les utilisateurs attendent avec impatience des éclaircissements concernant la manière dont l'attaquant a accédé à la base de données, ainsi que des informations sur le sort des 2,8 millions de CYS bloqués. Si ces tokens étaient détruits, cela réduirait le nombre de CYS que l'attaquant pourrait utiliser à 7,2 millions.
La fondation prévoit également de publier un rapport de suivi détaillant les pertes vérifiées et le suivi des fonds. Les détenteurs de CYS sont particulièrement attentifs à la manière dont ces questions seront gérées, d'autant plus qu'il s'agit d'un incident qui jette une ombre sur la sécurité de l'ensemble des systèmes de ponts dans le monde des cryptomonnaies.
Le rapport n’indique pas non plus si des plafonds ont été imposés sur la taille d’un mint. Une émission de 10 millions de tokens dans une seule transaction soulève des questions sur l’absence de limites, ce qui pourrait inciter les équipes à implémenter des contrôles plus rigoureux à l'avenir, tout en ralentissant les transactions pour les utilisateurs quotidiens.
Questions fréquentes
Quelle est la cause principale du piratage sur Cysic ?
Le piratage a été causé par un accès non autorisé à une base de données utilisée pour traiter les messages de mint, permettant la création de tokens non couverts.
Les actifs des utilisateurs sont-ils en danger ?
Non, la Cysic Foundation a assuré que les actifs des utilisateurs sur le réseau principal n'étaient pas touchés par l'attaque.
Quand le pont de Cysic sera-t-il de nouveau opérationnel ?
Le pont restera fermé jusqu'à ce qu'une enquête d'une entreprise de sécurité externe soit terminée et que toutes les failles aient été corrigées.
