首页 > 资讯 > Cysic跨链桥漏洞被攻击

Cysic跨链桥遭攻击，被恶意铸造千万枚CYS代币

2026-10-20 14:46:14 佚名

简介10 月 17 日 Cysic 跨链桥遭遇攻击，攻击者利用漏洞无授权铸造 1000 万枚 CYS，其中 720 万枚完成套现,项目紧急暂停跨链服务，主网与用户原有资产未被盗，跨链桥安全问题再度引发行业讨论，下面一起来看看正文内容吧

Cysic：从 ZK 硬件加速到去中心化计算网络

Cysic 成立于 2022 年，早期专注于零知识证明（ZK）硬件加速，通过专用芯片和软件优化，降低证明生成的成本、缩短计算时间，随后逐步扩展为面向 ZK 证明生成、AI 推理等任务的去中心化计算网络。

Cysic 目前已完成两轮融资，总金额为 1800 万美元，其中：

2023 年 2 月 17 日，Cysic 宣布完成 600 万美元的种子轮融资，本轮融资由 Polychain Capital 领投，Hashkey、SNZ Holding、A&T Capital、ABCDE、Web3.com 等参投；
2024 年 5 月 24 日，Cysic 宣布已完成 1200 万美元 pre-A 轮融资，本轮融资由 HashKey Capital 和 OKX Ventures 领投。

其原生代币 CYS 用于计算服务支付、质押及节点奖励，供应量为 10 亿枚。此次遭攻击的跨链桥，则是 CYS 在 Cysic 主网与 BNB Chain 等网络之间流转的通道。

76 分钟内，攻击者如何完成增发与套现？

北京时间 10 月 17 日 20:31:38，攻击者通过 Cysic 跨链桥，在 BNB Chain 上无授权铸造了 1000 万枚 CYS，占代币总供应量的 1%。

铸币约 5 分钟后，攻击者便开始出售代币。据 The Block 对链上记录的梳理，20:36 至 20:41，攻击者通过 11 笔交易卖出 565 万枚 CYS，换得约 58.83 万枚 USDT；20:57 至 20:59，又通过 4 笔交易卖出剩余的 155 万枚 CYS，换得约 220 BNB。上述 15 笔交易中，12 笔经由 OKX DEX 聚合器执行，订单被拆分至 PancakeSwap 等交易平台。从异常铸币到卖出约 720 万枚 CYS，攻击者仅用了约 28 分钟。

随后，攻击者通过 SWFT、Mayan 和 deBridge 等跨链服务，将兑换所得转往以太坊，合计收到约 306.6 ETH，价值约 72.7 万美元，并进一步转入另一钱包。

Cysic跨链桥遭攻击，被恶意铸造千万枚CYS代币

直到当晚 21:47:52，项目方才将接收地址加入 CYS 代币合约的黑名单。距离异常铸币已过去约 76 分钟，此时地址内仅剩约 280 万枚 CYS，占异常铸币总量的 28%。

攻击者能够套现的前提是，先让跨链桥生成一批本不应存在的 CYS。那么，Cysic 跨链桥为何接受了这笔铸币请求？

跨链桥验证失守，虚假请求触发代币增发

正常情况下，跨链桥只有确认源链上发生了真实的资产锁定或销毁，才能在目标链上铸造对应代币。

但根据 Cysic 的初步调查，攻击者获取了支持跨链桥服务的相关数据库权限，并利用消息处理逻辑漏洞，提交虚假铸币消息，最终在 BNB Chain 上生成了 1000 万枚没有对应资产支撑的 CYS。

攻击者如何取得数据库权限、虚假消息为何能通过验证，仍待完整调查报告披露。

目前调查尚未结束，异常增发的代币却已进入市场。对持币者而言，“钱包资产未被盗”并不能消除异常增发带来的抛压。这批代币如何处置、项目方是否承担损失，目前仍无明确方案。

Cysic跨链桥遭攻击，被恶意铸造千万枚CYS代币

跨链是刚需，安全代价由谁承担？

Cysic 被攻击并非孤例。今年以来，KelpDAO 的跨链桥接事件涉及约 2.92 亿美元损失；Verus 跨链桥在 5 月和 7 月两次遭攻击，分别涉及约 1158 万和 754 万美元；Across、Wanchain 也分别发生约 450 万和 930 万美元的安全事件。仅这五起事件，涉及金额就已超过 3.23 亿美元，尚未扣除追回资金。

跨链需求不会消失，但每增加一条资产流转通道，也意味着多一套需要信任的验证机制。当项目享受多链流动性的便利，安全事故的损失却留给市场承担，跨链桥就既是行业刚需，也可能成为用户无法判断何时引爆的炸弹。