Cysic 跨链桥遭攻：1000 万枚代币凭空增发，76 分钟套现 72.7 万美元

据 Woofun AI 消息， Foundation 于 10 月 18 日发布事故报告，确认其 Cysic 跨链桥在 10 月 17 日遭遇严重安全事件，导致 1000 万枚 被无授权铸造。此次攻击揭示了从漏洞利用到资产转移的全过程，凸显了去中心化基础设施在权限管理上的致命短板。

Cysic 成立于 2022 年，其技术演进路径从早期的 ZK 硬件加速起步，通过专用芯片与软件优化降低证明生成成本，随后逐步转型为面向 ZK 证明生成及 AI 推理等任务的去中心化计算网络。在资本市场上，该项目备受青睐，累计完成两轮融资，总金额为 1800 万美元。

具体而言，2023 年 2 月 17 日，Cysic 宣布完成 600 万美元的种子轮融资，由 领投，、、、、 等机构参投；随后在 2024 年 5 月 24 日，又宣布完成 1200 万美元的 pre-A 轮融资，由 和 联合领投。

其原生代币 CYS 总供应量为 10 亿枚，主要用于计算服务支付、质押及节点奖励。此次成为攻击目标的跨链桥，承载着 CYS 在 Cysic 主网与 Chain 等网络间流转的核心功能，是连接多链生态的关键通道。

攻击的时间线呈现出极高的效率与隐蔽性。北京时间 10 月 17 日 20:31:38，攻击者在 上无授权铸造了 1000 万枚 CYS，这一数量占代币总供应量的 1%。铸币完成后仅约 5 分钟，套现行动随即展开。

Woofun AI 整理数据显示，在 20:36 至 20:41 期间，攻击者通过 11 笔交易卖出 565 万枚 CYS，换取约 58.83 万枚 ；紧接着在 20:57 至 20:59，又通过 4 笔交易卖出剩余的 155 万枚 CYS，获得约 220 BNB。这 15 笔交易中，有 12 笔经由 聚合器执行，订单被拆分至 等交易平台以规避监控。从异常铸币到卖出约 720 万枚 CYS，整个过程仅耗时 28 分钟。

随后，攻击者利用 、 和 等跨链服务，将兑换所得转往，合计收到约 306.6 ，价值约 72.7 万美元，并进一步转入另一钱包。直到当晚 21:47:52，项目方才将接收地址加入 CYS 代币合约的黑名单，距离异常铸币已过去约 76 分钟，此时地址内仅剩约 280 万枚 CYS，占异常铸币总量的 28%。此次攻击得以成功，根本原因在于攻击者获取了支持跨链桥服务的相关数据库权限，并利用消息处理逻辑漏洞，提交虚假铸币消息，最终在 BNB Chain 上生成了没有对应资产支撑的代币。

回顾今年以来的行业安全事故，跨链桥已成为黑客攻击的重灾区。 的跨链桥接事件涉及约 2.92 亿美元损失； 跨链桥在 5 月和 7 月两次遭攻击，分别涉及约 1158 万美元和 754 万美元；、 也分别发生约 450 万美元和 930 万美元的安全事件。仅这五起事件，涉及金额就已超过 3.23 亿美元，尚未扣除追回资金。跨链需求虽为行业刚需，但每增加一条资产流转通道，都意味着引入新的信任验证机制。当项目方享受多链流动性便利时，安全事故的损失往往由市场承担，这使得跨链桥既是连接各链的桥梁，也可能成为随时引爆的风险炸弹。