Cysic, BNB Smart Chain'de Yetkisiz Basılan 10 Milyon CYS Sonrası Köprüyü Durdurdu

Blacklist 2,8 Milyon CYS'yi Basımdan 76 Dakika Sonra Dondurdu

Cysic, 17 Ekim Cumartesi günü bir saldırganın BNB Smart Chain üzerinde yetkisiz biçimde 10 milyon CYS token basmasının ardından zincirler arası köprüsünü askıya aldı. Cysic Foundation, 18 Ekim Pazar günü X üzerinden yaptığı açıklamada, yürütülen ön incelemenin köprünün arkasındaki veritabanına yetkisiz erişim tespit ettiğini, saldırganın bu erişimi sahte basım mesajları göndermek için kullandığını duyurdu. Olay zaman çizelgesine göre yetkisiz basım 12:31:38 UTC'de gerçekleşti. Foundation'ın anlattığı mekanizma köprünün mesaj işleme katmanına dayanıyor: bu tür bir köprü, bir ağdaki aktarım talimatlarını doğruladıktan sonra diğer ağda karşılık gelen hareketi onaylar ve saldırganın bu süreci manipüle ederek yeni CYS üretimini onaylattığı ileri sürülüyor. Cysic, platformunu bilgi işlem kaynaklarını koordine eden ve katılımcıları ödüllendiren merkeziyetsiz bir bilgi işlem ağı olarak tanımlıyor; CYS ise yönetişimi, bilgi işlem kaynaklarına erişimi ve donanım sağlayıcılarına yapılan ödemeleri destekliyor. Saldırı, son 90 günde 1,72 milyon tokenize hisse sahibi kazanmasıyla büyüme kaydeden BNB Smart Chain üzerinde yaşandı. Karantina, köprü olaylarının standartlarına göre hızlı işledi. Ekip, kayıtlı basımdan 1 saat 16 dakika 14 saniye sonra, 17 Ekim'de 13:47:52 UTC'de alıcı adresi token kontratının kara listesine ekledi ve orada bekleyen yaklaşık 2,8 milyon CYS'nin aktarımını engelledi. Foundation, ana ağ operasyonlarının ve diğer sistemlerin etkilenmediğini, kullanıcıların MetaMask'ı BNB Smart Chain'e bağlayarak ulaştığı ağdaki varlıklar dahil hiçbir müşteri cüzdanından varlık çıkmadığını belirtti. Askıya alma, araştırmacılar token hareketlerini izlerken etkilenen servis üzerinden yeni faaliyeti durdurmayı amaçlıyor; yeniden açılış için bir tarih verilmedi. Veritabanına nasıl erişildiği, hangi zayıflığın istismar edildiği ve hangi işlemlerin basımı tetiklediği henüz açıklanmadı; duyuruya bağımsız bir adli analiz raporu da eşlik etmedi.

Basım, 1 Milyarlık Arzın Yüzde 1'ine Denk Geliyor

Dondurulan cüzdan, açıklanan 10 milyon tokenlik figür referans alındığında yetkisiz ihraçın yüzde 28'ini oluşturuyordu. Kalan 7,2 milyon token blacklist'e alınan adreste değil ve bu durum, bunların ne kadarının satıldığını, başka yerlere taşındığını, geri kazanıldığını ya da diğer kripto parçalara dönüştürüldüğünü kanıtlamıyor. Cysic, dondurulan cüzdanın dışında herhangi bir tokenin tamamlandığı bir geri kazanım bildirmedi; araştırmacılar gerçek mali sonucu ortaya çıkarmak için transferleri izliyor ve olası takasları inceliyor. Proje dolar bazında bir rakam vermekten kaçındı: olay raporu üretilen token sayısını, saldırganın tamamlanan işlemlerle elde edebileceği değerden ayırıyor. Piyasa fiyatıyla yapılan bir hesaplama yalnızca yeni arzın nominal değerini tahmin ederdi; CYS işlem piyasalarının yoğunlaştırılmış likiditesine gerçekte ne kadar satılabileceğini ölçmezdi. Saldırgan gelirine dair doğrulanmış bir toplam, eksiksiz bir alıcı listesi ve sistemden çıkan varlıkların bağımsız bir değerlemesi henüz yayımlanmadı. Ölçeği yargılamak en kolayını tokenin kendi tasarımına karşı yapılır. Cysic'in yayımladığı tokenomics, toplam arzı 1 milyar CYS olarak koyuyor; yani yetkisiz basım bu rakamın yüzde 1'ine denk geliyor. Dağılım yüzde 40,19 ekosistem teşviklerine, yüzde 23,62 yatırımcılara, yüzde 12,11 katkıcılara, yüzde 8 kuruluş hazinesine ve yüzde 16,08 topluluk teşviklerine ve likiditeye ayrılıyor. Sahipler, CYS stake ederek projenin devredilemeyen yönetişim tokenı CGT'yi alabiliyor; bu token protokol önerilerini, doğrulayıcı seçimini ve ekonomik parametre kararlarını kapsıyor. Bilgi işlem sağlayıcıları ise CYS'yi sıfır bilgi kanıtı üretimi ve yapay zekâ iş yükleri için kapasite rezerve etmekte kullanıyor. Köprü zafafetleri üzerinden yetkisiz basım 2026 boyunca tekrarlandı: The Sandbox'in SAND olayı, doğrulanmış yaklaşık 675.000 dolarlık çekime karşılık 329 trilyon dayanaksız token üretmişti; PeckShield ise 13 Ekim Salı günkü Autheo istismarında 19 milyon THEO basıldığını ve bunların kabaca 700,8 ETH'ye takas edildiğini bildirdi. Cysic'in soruşturması henüz karşılaştırılabilir bir rakam üretmedi.

7,2 Milyon Token Hâlâ Hesaplanmış Değil

Burada zincir üstü kayıt alışılmadık derecede temiz: 12:31:38 UTC'deki basım ve kabaca 76 dakika sonraki kara listeye alma işlemi, BNB Smart Chain üzerinde doğrudan doğrulanabilir durumda; dolayısıyla karantina rakamı yalnızca ekibin beyanına dayanmıyor. Vakıf'ın ön değerlendirme raporuna göre kök neden, veritabanı erişim kontrollerinde ve köprü protokolünün mesaj işleme mantığında yer alıyor. Müdahalenin değiştirdiği şey kapsam oldu: basımın %28'i donduruldu, köprü çevrimdışı ve ana ağın tuttuğu bildiriliyor. Ortaya koyamadığı şey ise diğer 7,2 milyon token; bunların doğrulanmış bir muhasebesi, tamamlanmış bir kurtarma süreci ve nicelleştirilmiş bir geliri yok. BNB Chain üzerindeki para akışlarını izlemek zaten canlı bir uğraş; tıpkı CZ'nin topluluğu 92,9 milyon dolarlık Ledger satıcısı drenajını izlemeye çağırdığı dönemde olduğu gibi. Vakıf'ın yayımlamayı planladığı izleme raporu ise bu aşamada bir bulgudan çok, bir niyet olmaya devam ediyor.