サイシックのクロスチェーンブリッジにハッキング、CYS1000万枚を不正発行　73万ドル流出

ブロックチェーンプロジェクトのサイシック（Cysic）は、クロスチェーンブリッジへのハッキングでCYSトークンが不正発行される事故が起きたことを受け、関連サービスを停止し、調査に着手した。

ザ・ブロックは10月18日、サイシック財団が10月17日にBNBチェーンで発生したハッキングにより、CYSトークン1000万枚が不正に発行されたと明らかにしたと報じた。攻撃者はこのうち720万枚を売却し、約72万7000ドル（約1億1500万円）相当の資金をイーサリアム（ETH）ネットワークへ移した。

サイシック財団は事故報告書で、攻撃者がブリッジ運営を支援するサービスのデータベースに不正アクセスした後、メッセージ処理過程の脆弱性を悪用して虚偽のトークン発行要請を送ったと説明した。これにより、正規の承認手続きを経ずに大量のCYSトークンが発行された。

オンチェーン記録によると、攻撃者は不正発行の直後にCYSトークン720万枚を複数回に分けて売却した。このうち565万枚は11回の取引を通じて約58万8315USDTに換えられ、残る155万枚は約220BNBで売却された。一部の取引はOKXの分散型取引所（DEX）アグリゲーターを通じて、パンケーキスワップなどで処理された。

攻撃者はその後、SWFTやマヤン（Mayan）、ディブリッジ（deBridge）などのクロスチェーンプロトコルを使い、売却代金をイーサリアムに転換した。この過程で約306.6ETHを確保し、当時の相場で約72万7000ドル（約1億1500万円）に相当した。確保したイーサリアムの大半は別のウォレットに移された。

サイシック側は、最初の攻撃発生から約76分後に攻撃者のアドレスをブラックリストに登録した。これにより、攻撃者が保有していた残り280万枚のCYSトークンは送金が遮断された。ただ、この措置はBNBチェーン上のCYSトークンにしか適用されず、すでにイーサリアムネットワークへ移された資金には影響しない。

サイシック財団は、今回の事故はブリッジのメッセージ処理とトークン発行機能に限られ、サイシックのメインネットには影響していないと説明した。あわせて「既存利用者の資産は盗まれていない」と強調した。

実際の被害規模はまだ確定していない。サイシック側は、不正発行されたトークン枚数が最終的なドル建て損失額を意味するわけではないと説明した。現在は外部のセキュリティー企業に事故調査と資金追跡を依頼しており、安全点検が終わるまでブリッジの運営を停止する方針だ。

サイシックは、ゼロ知識証明（ZK）の生成に特化したハードウエアとレイヤー1ブロックチェーンネットワークを開発するプロジェクトだ。2022年に設立され、2023年にはポリチェーン・キャピタル（Polychain Capital）が主導したシード調達で600万ドル（約9億5000万円）を確保した。