Émission de CYS non garantis sur le pont Cysic

Le 17 octobre 2026, un attaquant a détourné le pont inter-chaînes de Cysic pour émettre 10 millions de CYS non garantis sur BNB Chain et en a vendu l'essentiel en quelques minutes, empochant environ 306,6 ETH — soit près de 727 000 dollars — avant que le projet ne puisse mettre les jetons volés sur liste noire. Rien n'était verrouillé de l'autre côté pour garantir la nouvelle offre, ce qui fait de cet épisode un exploit par émission non garantie plutôt qu'un pool de liquidité vidé.

Ce qui s'est passé

Les conclusions préliminaires de Cysic indiquent que l'attaquant a obtenu un accès non autorisé à une base de données utilisée par les services qui soutiennent le pont, puis a exploité une faille dans la logique de traitement des messages du pont pour soumettre une instruction d'émission frauduleuse. À 12 h 31 min 38 UTC, le pont a émis 10 000 000 CYS sur BNB Chain sans aucun dépôt correspondant verrouillé ailleurs — soit environ 6,2 % de l'offre en circulation et 1 % du maximum de 1 milliard.

L'attaquant a agi vite. Entre 12 h 36 et 12 h 59 UTC, il a vendu 7,2 millions de CYS en 15 transactions, dont douze acheminées via l'agrégateur DEX d'OKX avec des exécutions sur des plateformes dont PancakeSwap, d'abord pour environ 588 315 USDT, puis pour quelque 220 BNB. Les produits ont été poussés vers Ethereum entre chaînes via Mayan, deBridge et SWFT, arrivant sous forme d'environ 306,6 ETH ensuite transférés en cinq opérations vers un second portefeuille (0x1106De394da07e90b02161465EA0421B74DB4691) avant 13 h 11 UTC. Cysic a mis l'adresse réceptrice sur liste noire dans le contrat CYS à 13 h 47 min 52 UTC — 76 minutes après l'émission, alors qu'environ 72 % de l'offre illicite avait déjà quitté l'adresse.

Conséquences

Cysic a publié un rapport d'incident le 18 octobre, indiquant que les dégâts se limitaient aux fonctions d'émission et de traitement des messages du pont et n'avaient touché ni son mainnet, ni d'autres systèmes opérationnels, ni les portefeuilles des utilisateurs. Environ 2,8 millions de CYS restent gelés à l'adresse de l'attaquant via la liste noire, mais ce contrôle ne s'applique qu'aux CYS sur BNB Chain et n'a pas pu atteindre les ETH, déjà transférés. Le projet a suspendu le pont en attendant une revue de sécurité complète, a mandaté une société externe pour tracer les fonds et a promis un rapport de suivi sur les pertes vérifiées. Aucun fonds n'a été récupéré. CYS est tombé à un plus bas historique de 0,1076 $ ce jour-là, environ 93 % sous son sommet d'août 2026.

Pourquoi c'est important

Cysic est le troisième exploit par émission non garantie en une seule semaine, après Autheo, où une clé de relayeur de confiance a émis 19 millions de THEO via un pont Hyperlane, et Pirate Chain, dont l'exploit a fait surgir 39,8 millions d'ARRR à partir de rien. Dans chaque cas, l'attaquant n'a pas eu à casser la cryptographie ni à vider un coffre — il lui a suffi de convaincre la voie d'émission qu'un dépôt inexistant était réel. Une liste noire peut mettre en quarantaine les jetons nouvellement émis, comme ici, mais elle est inutile une fois la valeur échangée contre un actif liquide comme l'ETH et envoyée par un pont. La leçon durable de l'ère Wormhole et Meter demeure : la fonction d'émission d'un pont est sa surface la plus dangereuse, car une faille d'autorisation y imprime directement de l'argent.