Cysic עוצרת את הגשר שלה אחרי שתוקף הנפיק 10 מיליון טוקני CYS בלי הרשאה

Cysic השעתה את הגשר הבין רשתי (cross-chain bridge) שלה, אחרי שתוקף ניצל פגם בעיבוד ההודעות של הגשר והנפיק 10 מיליון טוקני CYS על BNB Smart Chain. לפי דוח האירוע שהחברה פרסמה ברשת X ביום ראשון, הממצאים הראשוניים מצביעים על גישה לא מורשית למסד נתונים שתומך בפעילות הגשר. ההנפקה עצמה התבצעה יום קודם, בשבת.

לטענת החברה, האירוע נשאר מוגבל לעיבוד ההודעות ולהנפקה בגשר, והרשת הראשית (mainnet) ושאר המערכות התפעוליות לא נפגעו. "האירוע לא הוביל לגניבה או להעברה לא מורשית של CYS קיים או של נכסים אחרים המוחזקים בארנקי משתמשים", נכתב בדוח. Cysic שכרה חברת אבטחה ומתכננת לפרסם דוח המשך כשיסתיים שלב החקירה הנוכחי.

76 דקות בין ההנפקה להקפאה

הדוח של Cysic כולל חותמות זמן מדויקות, ומהן אפשר לשחזר כמה זמן היה לתוקף חופש פעולה:

בין ההנפקה לחסימה עברו שעה, 16 דקות ו־14 שניות. כשהכתובת הוקפאה נשארו בה כ־2.8 מיליון CYS, שההעברות שלהם מוגבלות כעת. מכאן שכ־7.2 מיליון טוקנים, כ־72% מהכמות שהונפקה, כבר לא היו בכתובת בזמן החסימה. לאן בדיוק הם הגיעו וכמה מהם הוחלפו למטבעות אחרים, את זה Cysic עדיין בודקת.

החברה מדגישה שמספר הטוקנים שהונפקו אינו קובע את ההפסד הדולרי הסופי, ושהעברות הטוקנים, ההחלפות וההפסדים בפועל עדיין נבדקים. ההסתייגות הזאת הגיונית. תוקף שמחזיק מיליוני טוקנים יכול להמיר אותם רק לפי עומק הנזילות בבריכות המסחר, וכל מכירה גדולה שוחקת את המחיר שהוא מקבל. לכן כדאי להתייחס בזהירות לכל חישוב שמכפיל 7.2 מיליון במחיר השוק של CYS לפני האירוע.

הפרצה ישבה מחוץ לבלוקצ'יין

כדי להבין את הפגם צריך לזכור איך גשר עובד. כשאתם מעבירים טוקן מרשת אחת לאחרת, הגשר נועל או שורף אותו ברשת המקור, ושולח "הודעה" לרשת היעד שמאשרת להנפיק שם כמות זהה. מי שמסוגל לזייף או להזריק הודעה כזו מקבל בפועל הרשאת הנפקה. לפי הממצאים הראשוניים, נקודת הכניסה כאן הייתה מסד נתונים שתומך בגשר, רכיב שנמצא מחוץ לבלוקצ'יין עצמו.

אם הממצאים האלה יתאשרו, הכשל התרחש במערכת שמחליטה אילו הודעות לגיטימיות, שכבה אחת מעל חוזה ההנפקה על BNB Smart Chain. ביקורת קוד של חוזים חכמים, שפרויקטים נוהגים להציג כתעודת ביטחון, לא בהכרח מכסה שרתים ומסדי נתונים שמזינים את החוזה.

הרשימה השחורה עצרה את הנזק וחשפה את מבנה השליטה

היכולת של Cysic להכניס כתובת לרשימה שחורה הקפיאה 2.8 מיליון טוקנים שאחרת היו יכולים לצאת גם הם. מאותה סיבה היא מלמדת משהו על הטוקן: לחוזה של CYS יש פונקציה ניהולית שמאפשרת למנפיק לחסום כתובות. מבחינת מחזיקים, זה כלי הגנה בשעת חירום, ובאותה מידה סמכות ריכוזית שכדאי לדעת שקיימת.

לפי מסמכי הטוקנומיקה של הפרויקט, CYS משמש לתיאום תמריצים בין משתמשים, ספקי כוח מחשוב, משתתפי ממשל ותורמים ברשת של Cysic. היצע שנוצר מחוץ לכללים פוגע במנגנון הזה, כי טוקנים לא מורשים שנכנסים למחזור מדללים את חלקם של מי שקיבלו CYS על עבודה או על השתתפות בממשל.

גשרים כנקודת תורפה ב־DeFi

בעולם הDeFi, גשרים מרכזים בנקודה אחת שני דברים שתוקפים מחפשים: נכסים נעולים בסכומים גדולים, או סמכות להנפיק טוקנים יש מאין. במקרה של Cysic, לפי החברה, לא נגנבו CYS קיימים או נכסים מארנקי משתמשים, אבל מנגנון ההנפקה נוצל. גם כשהקוד על השרשרת חסין, ההגנה של גשר תלויה בכל רכיב שמשתתף באימות ההודעות, כולל תשתית רגילה של שרתים, הרשאות גישה וסיסמאות.

עבור פרויקטים של אלטקוינים שפרוסים על כמה רשתות במקביל, כל גרסה "מגושרת" של הטוקן נושאת סיכון נוסף על הסיכון של הפרויקט עצמו, כי הערך שלה ברשת היעד נשען על המנגנון שמבטיח שמאחוריה עומד טוקן אמיתי.

מחזיקים CYS או טוקנים מגושרים: מה לבדוק עכשיו

• ודאו על איזו רשת יושבים הטוקנים שלכם. האירוע התרחש ב־BNB Smart Chain, והגשר מושעה, כך שהעברות בין רשתות דרכו אינן זמינות כרגע.
• המתינו לדוח ההמשך לפני שאתם קונים "בהנחה". Cysic עצמה אומרת שהעברות הטוקנים, ההחלפות וההפסדים בפועל עדיין בבדיקה.
• בדקו בסייר הבלוקים של הרשת אם לחוזה של טוקן שאתם מחזיקים יש פונקציות הנפקה או חסימה, ומי מחזיק בהרשאות האלה.
• שמירה בארנק עצמאי, כפי שמוסבר במדריך לשמירת ביטקוין בבטחה, מגינה על המפתחות שלכם, אבל לא על כשל ברמת המנפיק או הגשר.
• אם תחליטו לממש CYS בהפסד, ההפסד שמומש מקזז רווחי הון באותה שנת מס, כולל רווחים מניירות ערך, ויתרה שלא נוצלה עוברת לשנים הבאות. רווחי הון מקריפטו של יחיד ממוסים ב־25%, ומכירה ישירה של קריפטו מחייבת דיווח לרשות המסים בטופס 1399 בתוך 30 יום. הפרטים המלאים מופיעים במדריך המס על קריפטו בישראל. שמרו צילומי מסך של העסקאות ושל הודעות החברה לצורך התיעוד.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.